Entendiendo NIST SP 800-171: Esenciales de cumplimiento para contratistas gubernamentales

Este artículo apareció originalmente en IndustryWeek. Publicación invitada de Traci Spencer, Gerente de Programa de Subvenciones para TechSolve, Inc., el socio regional suroeste de Ohio MEP, parte de la Red Nacional MEP^TM.

Los fabricantes involucrados en cadenas de suministro vinculadas a contratos gubernamentales pueden anticipar que esos contratos generen ingresos adicionales en niveles que de otra manera no serían posibles. Sin embargo, tener éxito en obtener y mantener dicho trabajo significa cumplir con el Reglamento Federal de Adquisiciones (FAR) y el Suplemento del Reglamento Federal de Adquisiciones para la Defensa (DFARS).

FAR es un conjunto de regulaciones que rige todas las adquisiciones y procedimientos de contratación asociados con el gobierno de EE. UU. DFARS acompaña a FAR como una adición. El Departamento de Defensa (DoD) es el cuerpo administrativo detrás de DFARS, pero el alcance de los requisitos de DFARS se extiende más allá de esa organización.

NIST SP 800-171 es una Publicación Especial de NIST que proporciona requisitos recomendados para proteger la confidencialidad de la información no clasificada controlada (CUI). Los contratistas de defensa deben implementar los requisitos recomendados contenidos en NIST SP 800-171 para demostrar su provisión de seguridad adecuada para proteger la información de defensa cubierta incluida en sus contratos de defensa, como lo requiere la cláusula DFARS 252.204-7012. Si un fabricante es parte de una cadena de suministro del DoD, la Administración de Servicios Generales (GSA), NASA u otras agencias federales o estatales, la implementación de los requisitos de seguridad incluidos en NIST SP 800-171 es obligatoria.

¿Cómo implementa NIST SP 800-171?

Es comprensible que los fabricantes se pregunten qué deben hacer para implementar NIST SP 800-171 y finalmente cumplir con DFARS, y si hay recursos especializados disponibles para ayudarles a alcanzar ese hito sin contratiempos evitables. Lo primero que deben tener en cuenta es que ser compatible con DFARS probablemente implique trabajar con un consultor de ciberseguridad que conozca los requisitos de NIST SP 800-171 a la perfección.

Es aconsejable que los fabricantes pequeños recurran al Centro de Asociación de Extensión de Manufactura (MEP) de su estado. Parte de la Red Nacional MEP™, una organización más grande que los conecta con NIST, los representantes de su Centro MEP local tendrán un conocimiento práctico de NIST SP 800-171 y pueden ayudar a las empresas a prepararse para el cumplimiento de DFARS. Puede ser un proceso corto o largo, dependiendo de las complejidades del entorno operativo y los sistemas de información de una empresa, pero implementar NIST SP 800-171 es un proceso necesario para que una empresa proteja su información.

¿Qué implica un plan exitoso?

Los fabricantes que quieran retener sus contratos con DoD, GSA, NASA y otras agencias federales y estatales necesitan tener un plan que cumpla con los requisitos de NIST SP 800-171. La cláusula de ciberseguridad DFARS 252.204-7012 entró en vigor el 31 de diciembre de 2017 y trata sobre el procesamiento, almacenamiento o transmisión de CUI que existe en sistemas no federales, como los utilizados por un contratista gubernamental.

Uno de los primeros pasos que deben tomar los fabricantes es identificar dónde existen brechas que les impiden ser compatibles con DFARS. A partir de ahí, pueden determinar cómo proceder.

¿Cómo deben empezar los fabricantes a trabajar hacia el cumplimiento?

La Red Nacional MEP ofrece recursos dedicados para fabricantes que necesitan información sobre la postura de ciberseguridad de una empresa que pueden ayudar a las empresas a comprender qué significa realmente obtener el cumplimiento de DFARS. Las empresas pueden ver si el cumplimiento de DFARS se aplica a ellas y ver infografías que recomiendan pasos para hacer sus plantas más seguras.

La Red Nacional MEP también proporciona un recurso particular al que los fabricantes sin duda se referirán una y otra vez: el Manual de Autoevaluación de NIST (Manual NIST 162). Abarca más de 150 páginas y ayuda a los lectores a evaluar sus instalaciones para concluir qué tan cerca están de implementar NIST SP 800-171 y entender qué tan cerca están de ser compatibles con DFARS. También ayuda a determinar dónde enfocar los esfuerzos al hacer mejoras para maximizar el impacto de cada dólar gastado en ciberseguridad.

Por ejemplo, el documento presenta contenido que aconseja cómo llevar a cabo una evaluación y con qué empleados aplicables hablar sobre requisitos de seguridad. Los fabricantes que lean el manual notarán que cada pregunta de evaluación tiene una opción de «enfoque alternativo». Se refiere al hecho de que los fabricantes pueden encontrar algunos requisitos en NIST SP 800-171 que no se aplican a ellos.

En ese caso, es aceptable usar un método diferente pero igualmente efectivo de mantener la seguridad, siempre y cuando los respectivos fabricantes notifiquen a las autoridades gubernamentales correctas sobre los cambios y obtengan aprobación para ellos.

Los representantes de plantas manufactureras también pueden aumentar su comprensión de los requisitos de cumplimiento viendo un seminario web que recorre algunos de los elementos cruciales del manual.

La complejidad no debería ser una barrera

Los fabricantes pueden ver inicialmente los requisitos de ciberseguridad para contratos gubernamentales como demasiado complicados, especialmente si tienen operaciones pequeñas.

Sin embargo, usando los recursos disponibles, incluyendo los Centros MEP locales, los fabricantes pueden darse cuenta de que es posible cumplir con DFARS, así como mantenerse en cumplimiento, implementando los requisitos de NIST SP 800-171 y abriendo posibilidades para recibir contratos gubernamentales financieramente gratificantes y que mejoran la reputación.

Un Centro MEP local es un recurso ideal para que los fabricantes lo usen al comenzar a completar un plan que detalla cómo implementar los requisitos de ciberseguridad de NIST SP 800-171.

Cada Centro MEP tiene acceso a recursos del sector público y privado que pueden ayudar a las empresas a entrar en cumplimiento con más confianza. Existen ubicaciones en los 50 estados y Puerto Rico.