NIST SP 800-171 이해: 정부 계약업체를 위한 준수 필수 사항

이 기사는 원래 IndustryWeek에 게재되었습니다. 오하이오 MEP의 남서부 지역 파트너인 TechSolve, Inc.의 보조금 프로그램 매니저 Traci Spencer의 게스트 블로그 게시물입니다.

정부 계약과 연계된 공급망에 있는 제조업체는 그렇지 않았다면 불가능했을 수준의 추가 수익을 기대할 수 있습니다. 하지만 그런 일을 수주하고 유지하려면 연방 조달 규정(Federal Acquisition Regulation, FAR)과 국방 연방 조달 규정 보충(Defense Federal Acquisition Regulation Supplement, DFARS)을 준수해야 합니다.

FAR은 미국 정부와 관련된 모든 조달 및 계약 절차를 관장하는 규정 세트입니다. DFARS는 FAR의 부속서로 이를 보완합니다. 국방부(DoD)가 DFARS의 행정 주체이지만, DFARS 요구 사항의 적용 범위는 그 이상으로 확장됩니다.

NIST SP 800-171은 통제된 비기밀 정보(Controlled Unclassified Information, CUI)의 기밀성 보호를 위한 권장 요구 사항을 제공하는 NIST 특수 간행물입니다. 방위 계약업체는 DFARS 조항 252.204-7012에서 요구하는 바에 따라, 자사 방위 계약에 포함된 대상 방위 정보를 보호하기 위한 적절한 보안 제공을 입증하고자 NIST SP 800-171에 포함된 권장 요구 사항을 구현해야 합니다. 제조업체가 DoD, 연방조달청(General Services Administration, GSA), NASA 또는 기타 연방/주 기관의 공급망에 속한다면, NIST SP 800-171에 포함된 보안 요구 사항 구현은 필수입니다.

NIST SP 800-171을 어떻게 구현하나?

제조업체가 NIST SP 800-171을 구현하고 궁극적으로 DFARS 준수를 달성하기 위해 무엇을 해야 할지, 그리고 피할 수 있는 함정 없이 그 이정표를 달성하는 데 도움이 될 전문 리소스가 있는지 궁금해하는 것은 당연합니다. 가장 먼저 명심해야 할 것은 DFARS 준수에는 NIST SP 800-171 요구 사항을 속속들이 아는 사이버보안 컨설턴트와 협력하는 것이 포함될 가능성이 높다는 점입니다.

중소 제조업체는 자주의 Manufacturing Extension Partnership(MEP) 센터를 참고하는 것이 좋습니다. MEP National Network™의 일부로, 더 큰 조직인 NIST와 연결해 주는 지역 MEP 센터 대표들은 NIST SP 800-171에 대한 실무 지식을 갖고 있으며 기업의 DFARS 준수 준비를 도울 수 있습니다. 회사 운영 환경과 정보 시스템의 복잡성에 따라 짧거나 긴 과정이 될 수 있지만, NIST SP 800-171 구현은 회사가 정보를 보호하기 위해 반드시 거쳐야 할 필수 과정입니다.

성공적인 계획이란?

DoD, GSA, NASA 및 기타 연방/주 기관 계약을 유지하려는 제조업체는 NIST SP 800-171 요구 사항을 충족하는 계획을 갖춰야 합니다. DFARS 사이버보안 조항 252.204-7012는 2017년 12월 31일 발효되었으며, 비연방 시스템(정부 계약업체가 사용하는 시스템 등)에 존재하는 CUI의 처리, 저장, 전송을 다룹니다.

제조업체가 가장 먼저 취해야 할 단계 중 하나는 DFARS 준수를 방해하는 격차가 어디에 있는지 식별하는 것입니다. 그 지점에서 어떻게 진행할지 결정할 수 있습니다.

제조업체는 준수를 향해 어떻게 시작해야 할까?

MEP National Network는 기업의 사이버보안 태세에 대한 정보가 필요한 제조업체를 위한 전용 리소스를 제공하여, DFARS 준수가 실제로 자신들에게 무엇을 의미하는지 이해하도록 돕습니다. 기업은 DFARS 준수가 자신에게 적용되는지 확인하고, 공장 현장을 더 안전하게 만들기 위한 권장 단계를 보여주는 인포그래픽을 볼 수 있습니다.

MEP National Network는 제조업체가 반복적으로 참조하게 될 특정 리소스도 제공합니다: NIST 자기 평가 핸드북(NIST Handbook 162). 150페이지가 넘는 이 문서는 독자가 시설을 평가하여 NIST SP 800-171 구현에 얼마나 가까운지, DFARS 준수에 얼마나 가까운지 결론 내릴 수 있게 돕습니다. 또한 사이버보안에 지출하는 각 달러의 영향을 극대화하기 위해 개선 노력을 어디에 집중해야 할지 결정하는 데도 도움이 됩니다.

예를 들어, 이 문서에는 평가를 어떻게 수행할지, 보안 요구 사항과 관련해 어떤 해당 직원들과 대화할지 조언하는 내용이 포함되어 있습니다. 핸드북을 읽어본 제조업체들은 각 평가 질문에 '대체 접근 방식(alternative approach)' 옵션이 있음을 알게 될 것입니다. 이는 제조업체가 NIST SP 800-171의 일부 요구 사항이 자신에게 적용되지 않는다고 판단할 수 있음을 의미합니다.

그런 경우, 해당 정부 당국에 변경 사항을 통보하고 승인을 받는 한, 동등하게 효과적인 다른 보안 유지 방법을 사용하는 것이 허용됩니다.

제조 공장 담당자들은 핸드북의 중요한 요소들을 다루는 웨비나를 시청하여 준수 요구 사항에 대한 이해를 높일 수도 있습니다.

복잡성이 장벽이 되어선 안 된다

제조업체는 정부 계약의 사이버보안 요구 사항을 처음에는 너무 복잡하게 볼 수 있습니다. 특히 소규모 운영체라면 더욱 그렇습니다.

하지만 지역 MEP 센터를 포함한 가용 리소스를 활용하면, 제조업체는 NIST SP 800-171 요구 사항을 구현하여 DFARS 준수를 달성하고 유지하는 것이 가능하며, 재정적으로 보람 있고 평판을 높여주는 정부 계약을 수주할 가능성을 열 수 있음을 깨닫게 됩니다.

지역 MEP 센터는 NIST SP 800-171 사이버보안 요구 사항 구현 방법을 상세히 기술한 계획을 완성하기 시작하는 제조업체가 활용하기에 이상적인 리소스입니다.

각 MEP 센터는 공공 및 민간 부문 리소스에 접근할 수 있어 기업이 더 자신 있게 준수에 도달할 수 있도록 돕습니다. 위치는 50개 주와 푸에르토리코 전역에 있습니다.