NIST SP 800-171이란 무엇이며 누가 따라야 합니까?

이 기사는 원래 IndustryWeek에 실렸습니다. MEP National Network ^TM 의 일부인 Ohio MEP의 남서부 지역 파트너인 TechSolve, Inc.의 Grant Program Manager인 Traci Spencer의 게스트 블로그 게시물 .

정부 계약과 연결된 공급망에 관련된 제조업체는 이러한 상이 다른 방법으로는 불가능한 수준의 추가 수익을 가져올 것으로 예상할 수 있습니다. 그러나 이러한 작업을 성공적으로 확보하고 유지하려면 FAR(연방조달규정) 및 DFARS(국방연방조달규정 부록)를 준수해야 합니다.

FAR은 미국 정부와 관련된 모든 인수 및 계약 절차를 규율하는 일련의 규정입니다. DFARS는 FAR과 함께 추가됩니다. 국방부(DoD)는 DFARS의 관리 기관이지만 DFARS 요구 사항의 범위는 해당 조직 이상으로 확장됩니다.

NIST SP 800-171은 통제된 미분류 정보(CUI)의 기밀성을 보호하기 위한 권장 요구 사항을 제공하는 NIST 특별 간행물입니다. 방위 계약자는 NIST SP 800-171에 포함된 권장 요구 사항을 구현하여 DFARS 조항 252.204-7012에서 요구하는 대로 방위 계약에 포함된 해당 방위 정보를 보호하기 위한 적절한 보안 제공을 입증해야 합니다. 제조업체가 DoD, GSA(General Services Administration), NASA 또는 기타 연방 또는 주 기관의 공급망에 속해 있는 경우 NIST SP 800-171에 포함된 보안 요구 사항의 구현은 필수입니다.

NIST SP 800-171을 어떻게 구현합니까?

제조업체가 NIST SP 800-171을 구현하고 궁극적으로 DFARS를 준수하기 위해 무엇을 해야 하는지, 그리고 예방 가능한 위험 없이 이 이정표를 달성하는 데 도움이 되는 전문 리소스가 있는지 궁금해하는 것은 이해할 만합니다. 그들이 염두에 두어야 할 첫 번째 사항은 DFARS를 준수하려면 NIST SP 800-171 요구 사항을 안팎으로 알고 있는 사이버 보안 컨설턴트와 협력해야 한다는 것입니다.

소규모 제조업체는 해당 주의 MEP(Manufacturing Extension Partnership) 센터를 찾는 것이 좋습니다. NIST에 연결하는 대규모 조직인 MEP National Network™의 일부인 지역 MEP 센터의 담당자는 NIST SP 800-171에 대한 실무 지식을 갖고 있으며 기업이 DFARS 준수를 준비하는 데 도움을 줄 수 있습니다. 기업의 운영 환경과 정보 시스템의 복잡성에 따라 짧거나 길 수 있지만 NIST SP 800-171을 구현하는 것은 기업이 정보를 보호하는 데 필요한 프로세스입니다.

성공적인 계획은 무엇을 수반합니까?

DoD, GSA, NASA 및 기타 연방 및 주정부 기관 계약을 유지하려는 제조업체는 NIST SP 800-171의 요구 사항을 충족하는 계획이 있어야 합니다. DFARS 사이버 보안 조항 252,204-7012는 2017년 12월 31일에 발효되었으며 정부 계약자가 사용하는 것과 같은 비연방 시스템에 존재하는 CUI를 처리, 저장 또는 전송하는 것을 다룹니다.

제조업체가 취해야 하는 첫 번째 단계 중 하나는 DFARS를 준수하지 못하게 하는 갭이 존재하는 위치를 식별하는 것입니다. 그 시점에서 그들은 진행 방법을 결정할 수 있습니다.

제조업체는 규정 준수를 위해 어떻게 작업을 시작해야 합니까?

MEP National Network는 기업이 DFARS를 준수하는 것이 실제로 무엇을 의미하는지 이해하는 데 도움이 될 수 있는 기업의 사이버 보안 태세에 대한 정보가 필요한 제조업체를 위한 전용 리소스를 제공합니다. 기업은 DFARS 규정 준수 여부를 확인하고 공장 현장을 보다 안전하게 만들기 위해 취해야 할 조치를 권장하는 인포그래픽을 볼 수 있습니다.

MEP National Network는 또한 제조업체가 의심의 여지 없이 계속해서 참조하게 될 특정 리소스인 NIST 자체 평가 핸드북(NIST 핸드북 162)을 제공합니다. 150페이지 이상에 걸쳐 있으며 독자가 시설을 평가하여 NIST SP 800-171 구현에 얼마나 근접했는지 결론을 내리도록 하여 DFARS 준수에 얼마나 근접했는지 이해할 수 있도록 도와줍니다. 또한 사이버 보안에 지출되는 각 비용의 영향을 극대화하기 위해 개선할 때 노력을 집중할 위치를 결정하는 데 도움이 됩니다.

예를 들어, 이 문서에는 평가 수행 방법과 보안 요구 사항과 관련하여 어떤 해당 직원과 이야기해야 하는지 조언하는 내용이 포함되어 있습니다. 핸드북을 읽은 제조업체는 각 평가 질문에 "대체 접근 방식" 옵션이 있음을 알 수 있습니다. 제조업체가 NIST SP 800-171에서 자신에게 적용되지 않는 일부 요구사항을 찾을 수 있다는 사실을 나타냅니다.

이 경우 각 제조업체가 올바른 정부 기관에 변경 사항에 대해 알리고 승인을 받는 한, 보안을 유지하는 다른 방법이지만 동등하게 효과적인 방법을 사용할 수 있습니다.

제조 공장 담당자는 핸드북의 일부 중요한 요소를 설명하는 웨비나를 시청하여 규정 준수 요구 사항에 대한 이해를 높일 수도 있습니다.

복잡성이 장벽이 되어서는 안 됩니다.

제조업체는 특히 소규모 운영의 경우 처음에는 정부 계약에 대한 사이버 보안 요구 사항이 너무 복잡하다고 생각할 수 있습니다.

그러나 현지 MEP 센터를 포함하여 사용 가능한 리소스를 사용하면 제조업체가 NIST SP 800-171 요구 사항을 구현하여 DFARS를 준수하고 규정을 준수할 수 있다는 것을 깨닫고 재정적으로 보상을 받을 수 있는 가능성을 열 수 있습니다. 평판을 높이는 정부 계약.

로컬 MEP 센터는 제조업체가 NIST SP 800-171 사이버 보안 요구 사항을 구현하는 방법을 자세히 설명하는 계획을 완료하기 시작할 때 사용할 수 있는 이상적인 리소스입니다.

각 MEP 센터는 기업이 보다 확신을 갖고 규정을 준수하는 데 도움이 되는 공공 및 민간 부문 리소스에 액세스할 수 있습니다. 위치는 모든 50개 주와 푸에르토리코에 있습니다.