¿Qué es el NIST SP 800-171 y quién debe seguirlo?

Este artículo apareció originalmente en IndustryWeek. Entrada de blog invitada por Traci Spencer, Gerente del Programa de Subvenciones de TechSolve, Inc., el socio regional suroeste del Ohio MEP, parte de la Red Nacional MEP ^TM .

Los fabricantes involucrados en cadenas de suministro vinculadas a contratos gubernamentales pueden anticipar que esas adjudicaciones generarán ingresos adicionales a niveles que de otro modo no serían posibles. Sin embargo, tener éxito en obtener y mantener dicho trabajo significa cumplir con el Reglamento de Adquisiciones Federales (FAR) y el Suplemento del Reglamento de Adquisiciones Federales de Defensa (DFARS).

FAR es un conjunto de regulaciones que rigen todas las adquisiciones y procedimientos de contratación asociados con el gobierno de EE. UU. DFARS acompaña a FAR como una adición. El Departamento de Defensa (DoD) es el organismo administrativo detrás de DFARS, pero el alcance de los requisitos de DFARS se extiende a más que esa organización.

NIST SP 800-171 es una publicación especial de NIST que proporciona los requisitos recomendados para proteger la confidencialidad de la información no clasificada controlada (CUI). Los contratistas de defensa deben implementar los requisitos recomendados contenidos en NIST SP 800-171 para demostrar su provisión de seguridad adecuada para proteger la información de defensa cubierta incluida en sus contratos de defensa, como lo requiere la cláusula DFARS 252.204-7012. Si un fabricante es parte de una cadena de suministro de DoD, General Services Administration (GSA), NASA u otras agencias federales o estatales, la implementación de los requisitos de seguridad incluidos en NIST SP 800-171 es imprescindible.

¿Cómo se implementa NIST SP 800-171?

Es comprensible que los fabricantes se pregunten qué deben hacer para implementar NIST SP 800-171 y finalmente cumplir con DFARS, y si hay recursos especializados disponibles para ayudarlos a lograr ese hito sin obstáculos prevenibles. Lo primero que deben tener en cuenta es que cumplir con DFARS probablemente implica trabajar con un consultor de ciberseguridad que conozca los requisitos de NIST SP 800-171 por dentro y por fuera.

Es recomendable que los pequeños fabricantes recurran al Centro de Asociación de Extensión de Fabricación (MEP) de su estado. Como parte de MEP National Network ™, una organización más grande que los conecta con NIST, los representantes de su Centro MEP local tendrán un conocimiento práctico de NIST SP 800-171 y pueden ayudar a las empresas a prepararse para el cumplimiento de DFARS. Puede ser un proceso corto o largo, según las complejidades del entorno operativo y los sistemas de información de una empresa, pero la implementación de NIST SP 800-171 es un proceso necesario para que una empresa proteja su información.

¿Qué implica un plan exitoso?

Los fabricantes que quieran conservar sus contratos con DoD, GSA, NASA y otras agencias federales y estatales deben tener un plan que cumpla con los requisitos de NIST SP 800-171. La cláusula de seguridad cibernética de DFARS 252,204-7012 entró en vigencia el 31 de diciembre de 2017 y se ocupa del procesamiento, almacenamiento o transmisión de CUI que existen en sistemas no federales, como los utilizados por un contratista del gobierno.

Uno de los primeros pasos que deben tomar los fabricantes es identificar dónde existen brechas que les impiden cumplir con DFARS. A partir de ese momento, pueden determinar cómo proceder.

¿Cómo deberían empezar a trabajar los fabricantes para lograr el cumplimiento?

La Red Nacional MEP ofrece recursos dedicados para los fabricantes que necesitan información sobre la postura de ciberseguridad de una empresa que puede ayudar a las empresas a comprender lo que realmente significa para ellos cumplir con DFARS. Las empresas pueden ver si el cumplimiento de DFARS se aplica a ellas y ver infografías que recomiendan los pasos a seguir para hacer que sus plantas de producción sean más seguras.

La Red Nacional MEP también proporciona un recurso particular al que los fabricantes sin duda alguna se referirán una y otra vez:el Manual de Autoevaluación del NIST (Manual 162 del NIST). Abarca más de 150 páginas y ayuda a los lectores a evaluar sus instalaciones para concluir qué tan cerca están de implementar NIST SP 800-171 para ayudarlos a comprender qué tan cerca están de cumplir con DFARS. También ayuda a determinar dónde concentrar los esfuerzos al realizar mejoras para maximizar el impacto de cada dólar gastado en ciberseguridad.

Por ejemplo, el documento presenta contenido que aconseja cómo llevar a cabo una evaluación y con qué empleados aplicables hablar con respecto a los requisitos de seguridad. Los fabricantes que lean el manual notarán que cada pregunta de evaluación tiene una opción de "enfoque alternativo". Se refiere al hecho de que los fabricantes pueden encontrar algunos requisitos en NIST SP 800-171 que no se aplican a ellos.

En ese caso, es aceptable utilizar un método diferente pero igualmente eficaz para mantener la seguridad, siempre que los respectivos fabricantes notifiquen a las autoridades gubernamentales correspondientes sobre los cambios y obtengan su aprobación.

Los representantes de la planta de fabricación también pueden aumentar su comprensión de los requisitos de cumplimiento al ver un seminario web que analiza algunos de los elementos cruciales del manual.

La complejidad no debería ser una barrera

Los fabricantes pueden considerar inicialmente que los requisitos de ciberseguridad para los contratos gubernamentales son demasiado complicados, especialmente si tienen operaciones pequeñas.

Sin embargo, el uso de los recursos disponibles, incluidos los centros MEP locales, permite a los fabricantes darse cuenta de que es posible cumplir con DFARS, así como mantener el cumplimiento, mediante la implementación de los requisitos NIST SP 800-171 y abrir posibilidades para recibir recompensas financieras y contratos gubernamentales que aumentan la reputación.

Un centro MEP local es un recurso ideal para que los fabricantes lo utilicen cuando comienzan a completar un plan que detalla cómo implementar los requisitos de ciberseguridad NIST SP 800-171.

Cada Centro MEP tiene acceso a recursos del sector público y privado que pueden ayudar a las empresas a cumplir con más confianza. Existen ubicaciones en los 50 estados y Puerto Rico.