NIST SP 800‑171 verstehen: Compliance-Grundlagen für Regierungsauftragnehmer

Dieser Artikel erschien ursprünglich auf IndustryWeek. Gastbeitrag von Traci Spencer, Grant Program Manager für TechSolve, Inc., den südwestlichen Regionalpartner des Ohio MEP, Teil des MEP National Network™.

Hersteller, die in Lieferketten eingebunden sind, die mit Regierungsaufträgen verbunden sind, können erwarten, dass diese Aufträge zusätzliche Einnahmen auf Niveaus bringen, die sonst möglicherweise nicht möglich wären. Erfolgreich zu sein, solche Aufträge zu erhalten und zu behalten, bedeutet jedoch, die Federal Acquisition Regulation (FAR) und die Defense Federal Acquisition Regulation Supplement (DFARS) einzuhalten.

FAR ist ein Regelwerk, das alle Beschaffungs- und Vertragsverfahren regelt, die mit der US-Regierung verbunden sind. DFARS begleitet FAR als Ergänzung. Das Department of Defense (DoD) ist die Verwaltungsbehörde hinter DFARS, aber die Reichweite der DFARS-Anforderungen erstreckt sich über diese Organisation hinaus.

NIST SP 800-171 ist eine NIST Special Publication, die empfohlene Anforderungen für den Schutz der Vertraulichkeit kontrollierter unklassifizierter Informationen (CUI) bereitstellt. Verteidigungsauftragnehmer müssen die in NIST SP 800-171 enthaltenen empfohlenen Anforderungen implementieren, um ihre Bereitstellung angemessener Sicherheit zum Schutz der in ihren Verteidigungsverträgen enthaltenen abgedeckten Verteidigungsinformationen nachzuweisen, wie es die DFARS-Klausel 252.204-7012 verlangt. Wenn ein Hersteller Teil einer DoD-, General Services Administration (GSA)-, NASA- oder anderer Bundes- oder Landesbehörden-Lieferkette ist, ist die Implementierung der in NIST SP 800-171 enthaltenen Sicherheitsanforderungen ein Muss.

Wie implementieren Sie NIST SP 800-171?

Es ist verständlich, dass sich Hersteller fragen, was sie tun sollten, um NIST SP 800-171 zu implementieren und letztlich DFARS-konform zu werden, und ob spezialisierte Ressourcen verfügbar sind, um ihnen zu helfen, diesen Meilenstein ohne vermeidbare Fallstricke zu erreichen. Das Erste, woran sie denken sollten, ist, dass DFARS-Konformität wahrscheinlich die Zusammenarbeit mit einem Cybersicherheitsberater erfordert, der die NIST SP 800-171-Anforderungen in- und auswendig kennt.

Es ist ratsam, dass kleine Hersteller sich an das Manufacturing Extension Partnership (MEP) Center ihres Bundesstaates wenden. Als Teil des MEP National Network™, einer größeren Organisation, die sie mit NIST verbindet, werden die Vertreter Ihres lokalen MEP Centers über praktische Kenntnisse von NIST SP 800-171 verfügen und Unternehmen bei der Vorbereitung auf DFARS-Konformität unterstützen können. Es kann ein kurzer oder langer Prozess sein, abhängig von der Komplexität der Betriebsumgebung und der Informationssysteme eines Unternehmens, aber die Implementierung von NIST SP 800-171 ist ein notwendiger Prozess für ein Unternehmen, um seine Informationen zu schützen.

Was beinhaltet ein erfolgreicher Plan?

Hersteller, die ihre DoD-, GSA-, NASA- und andere Bundes- und Landesbehördenverträge behalten wollen, benötigen einen Plan, der die Anforderungen von NIST SP 800-171 erfüllt. Die DFARS-Cybersicherheitsklausel 252.204-7012 trat am 31. Dezember 2017 in Kraft und befasst sich mit der Verarbeitung, Speicherung oder Übertragung von CUI, die auf nicht-bundesstaatlichen Systemen existiert – wie denen, die von einem Regierungsauftragnehmer genutzt werden.

Einer der ersten Schritte, die Hersteller unternehmen sollten, ist die Identifizierung von Lücken, die sie daran hindern, DFARS-konform zu sein. Von dort aus können sie bestimmen, wie sie fortfahren.

Wie sollten Hersteller auf Konformität hinarbeiten?

Das MEP National Network bietet dedizierte Ressourcen für Hersteller, die Informationen über die Cybersicherheitshaltung eines Unternehmens benötigen, um zu verstehen, was DFARS-Konformität tatsächlich für sie bedeutet. Unternehmen können prüfen, ob DFARS-Konformität auf sie zutrifft, und Infografiken ansehen, die Schritte empfehlen, um ihre Fabrikböden sicherer zu machen.

Das MEP National Network stellt auch eine bestimmte Ressource bereit, auf die Hersteller zweifellos immer wieder zurückgreifen werden: das NIST Self-Assessment Handbook (NIST Handbook 162). Es umfasst mehr als 150 Seiten und hilft Lesern, ihre Anlagen zu bewerten, um festzustellen, wie nah sie an der Implementierung von NIST SP 800-171 sind, um zu verstehen, wie nah sie an der DFARS-Konformität sind. Es hilft auch zu bestimmen, wo die Bemühungen fokussiert werden sollten, um die Wirkung jedes für Cybersicherheit ausgegebenen Dollars zu maximieren.

Zum Beispiel enthält das Dokument Inhalte, die raten, wie man eine Bewertung durchführt und mit welchen relevanten Mitarbeitern man bezüglich Sicherheitsanforderungen sprechen sollte. Hersteller, die das Handbuch durchlesen, werden feststellen, dass jede Bewertungsfrage eine „alternative Vorgehensweise“-Option hat. Dies bezieht sich auf die Tatsache, dass Hersteller einige Anforderungen in NIST SP 800-171 finden könnten, die nicht auf sie zutreffen.

In diesem Fall ist es akzeptabel, eine andere, aber gleich effektive Methode zur Aufrechterhaltung der Sicherheit zu verwenden – solange die jeweiligen Hersteller die zuständigen Regierungsbehörden über die Änderungen informieren und Genehmigung dafür erhalten.

Vertreter von Fertigungsanlagen können ihr Verständnis der Compliance-Anforderungen auch durch das Ansehen eines Webinars vertiefen, das einige der entscheidenden Elemente des Handbuchs durchgeht.

Komplexität sollte keine Barriere sein

Hersteller betrachten die Cybersicherheitsanforderungen für Regierungsaufträge möglicherweise zunächst als zu kompliziert, insbesondere wenn sie kleine Betriebe haben.

Die Nutzung der verfügbaren Ressourcen – einschließlich lokaler MEP Center – ermöglicht es Herstellern jedoch zu erkennen, dass es möglich ist, DFARS-konform zu werden und konform zu bleiben, indem sie die NIST SP 800-171-Anforderungen implementieren, und Möglichkeiten für finanziell lohnende und den Ruf steigernde Regierungsaufträge zu eröffnen.

Ein lokales MEP Center ist eine ideale Ressource für Hersteller, um damit zu beginnen, einen Plan zu erstellen, der beschreibt, wie die NIST SP 800-171-Cybersicherheitsanforderungen implementiert werden sollen.

Jedes MEP Center hat Zugang zu öffentlichen und privaten Sektorressourcen, die Unternehmen dabei helfen können, mit mehr Vertrauen in die Konformität zu gelangen. Standorte existieren in allen 50 Bundesstaaten und Puerto Rico.