Publicado por: Elliott Forsythe
Estándares de seguridad de la información establecidos por el Instituto Nacional de Estándares y Tecnología (NIST). NIST SP 800-171Ha sido revisado numerosas veces desde que se publicó por primera vez en junio de 2015. A raíz de estos cambios, muchos se preguntan cuál es la situación de sus empresas con respecto al cumplimiento y qué pasos deben tomar a continuación. La siguiente breve historia y explicación de NIST 800-171 tiene como objetivo aclarar estas y otras preguntas sobre este estándar.
En agosto de 2015, el Departamento de Defensa (DoD) añadió una norma provisional al Suplemento del Reglamento Federal de Adquisiciones de Defensa (DFARS). Esta regla requiere que todas las entidades contratantes gubernamentales cumplan con NIST 800-171 según las secciones 252.204-7008 y 252.204-7012. . La publicación original NIST 800-171 contenía 109 controles que los contratistas deben cumplir para todos los sistemas, incluidos: Información de defensa del objetivo Esto incluye información técnica controlada no clasificada (UCTI) y otras categorías de información no clasificada que requieren un manejo especial.
Desde el lanzamiento de NIST 800-171, NIST 800-171 ha NIST 800-171 Revisión 1, publicado en diciembre de 2016 y actualizado en noviembre de 2017. Entre los cambios de terminología, la Revisión 1 también incluye la adición de nuevos controles (ahora 110 en total) y requisitos específicos sobre cómo las empresas logran el cumplimiento. Estos requisitos incluyen completar una evaluación de cumplimiento de ciberseguridad; plan de seguridad del sistema (SSP), Plan de acción e hitos (PoAM) y Plan de respuesta a incidentes (PIR).
El 21 de septiembre de 2017, la Oficina del Subsecretario de Defensa emitió un memorando indicando que, según las disposiciones del DFARS, los contratistas deben implementar la versión de la norma que estaba vigente. En el momento de la celebración del contrato..En otras palabras, si la empresa firma un contrato trasero Dado que la Rev. 1 entró en vigor, estará sujeto a pautas actualizadas.Cuando una corporación firma un contrato Al frente Ahora que la Rev. 1 está en vigor, tiene la opción de dejar su contrato tal como está o trabajar para revisarlo. Luego, el contratista debe trabajar con el oficial de contrataciones para modificar el contrato y permitir el uso de la última versión de 800-171.
Para respaldar estas modificaciones de contrato, la Oficina del Subsecretario de Defensa emitió un segundo memorando el 15 de diciembre de 2017, solicitando que los oficiales de contratación realicen modificaciones de contrato a través de organizaciones internacionales. Sistema de cambio masivo. El sistema automatiza las revisiones de contratos electrónicamente, facilitando la identificación e implementación de cambios.
En pocas palabras, tal como está actualmente, cualquier empresa que tenga un contrato que incluya la cláusula DFARS 252.204-7008 o 252.204-7012 y trate con CUI necesita conocer la siguiente información sobre este estándar:
- Los contratistas están sujetos a la versión de NIST 800-171 publicada en el momento de la firma del contrato. Sin embargo, si no cambia su contrato, es posible que no pueda proteger o cumplir con las revisiones actuales.
- Los contratos firmados bajo el estándar NIST 800-171 original no necesariamente pueden considerar la finalización de SSP y PoAM como prueba de cumplimiento. Porque estos documentos no figuraban como requisito del contrato. Para utilizar estos documentos como prueba de cumplimiento, primero debe modificar el contrato.
- Los contratistas pueden pedirle a su oficial de contrataciones que modifique su contrato para incluir la última versión del 800-171, pero esto probablemente se manejará a través del sistema de enmiendas masivas.
El Centro de Tecnología de Fabricación de Michigan (El Centro) está disponible para ayudar a las empresas que necesitan crear e implementar SSP y PoAM. Haga clic aquí para obtener más información sobre cómo podemos ayudar a su organización a lograr el cumplimiento.
El reciente Memorando de diciembre se puede ver junto con el Memorando de septiembre de 2017. aquí.
Conozca a nuestros expertos
Elliot Forsythe Vicepresidente de Operaciones Comerciales
Elliott es el vicepresidente de operaciones comerciales del Centro y es responsable de áreas de práctica clave que incluyen seguridad cibernética, aceleración de tecnología, marketing, investigación de mercado y desarrollo comercial. Durante los últimos dos años, Elliott ha liderado los esfuerzos del centro para desarrollar servicios de ciberseguridad de vanguardia para empresas de las industrias de defensa, aeroespacial y automotriz, ayudando a las empresas de Michigan a proteger sus negocios y mantener el cumplimiento normativo.
categoría: la seguridad cibernética