O que é o NIST SP 800-171?

O que é o NIST SP 800-171?

O NIST SP 800-171 é uma publicação do Instituto Nacional de Padrões e Tecnologia (NIST) dos Estados Unidos emitida em junho de 2015 que visa fortalecer a segurança das Informações Não Classificadas Controladas (CUIs) nos sistemas de organizações não federais. As CUIs são informações governamentais sensíveis, mas não classificadas, que vão de patentes a especificações de equipamentos militares. Embora não sejam classificadas, quaisquer violações das CUIs podem ter implicações graves para a segurança nacional e economia.

Em um mundo cada vez mais marcado por ataques cibernéticos alarmantes, o NIST SP 800-171 visa criar uma linha de base unificada de requisitos de segurança cibernética para todos os contratados e subcontratados governamentais que lidam com CUIs. Para essas entidades, o cumprimento do NIST SP 800-171 não é apenas aconselhável, mas obrigatório, garantindo que informações governamentais confidenciais sejam protegidas de maneira consistente. A não conformidade pode gerar consequências graves.

O NIST SP 800-171 é um instrumento resiliente na luta contínua contra as ameaças cibernéticas, com suas atualizações regulares acompanhando as ameaças cibernéticas emergentes e a evolução tecnológica, sendo a Revisão 2, em fevereiro de 2020, a mais recente. Ele não apenas protege as CUIs, mas também ajuda no compartilhamento de informações, fortalecendo o cenário mais amplo da segurança cibernética.

A criação do NIST SP 800-171 marca uma etapa estratégica para garantir a segurança nacional, estabelecendo uma referência unificada de segurança cibernética e promovendo uma cultura de segurança da informação na era digital.

Quem deve cumprir o NIST SP 800-171?

O NIST SP 800-171 é uma parte crucial das medidas de segurança cibernética promulgadas pelo governo dos EUA que se aplicam principalmente a entidades não federais que processam, armazenam ou transmitem CUIs como parte de suas obrigações contratuais. As CUIs envolvem dados confidenciais que requerem proteção, mas não se enquadram nas regulamentações que regem as informações confidenciais.

As entidades que precisam cumprir o NIST SP 800-171 geralmente incluem:

O cumprimento do NIST SP 800-171 garante a proteção das CUIs em toda a rede de organizações que trabalham com o governo dos EUA, contribuindo assim para a segurança nacional.

Além disso, as organizações que trabalham com o DoD e processam CUIs devem cumprir o Suplemento do Regulamento de Aquisição Federal de Defesa (DFARS) 252.204-7012 e o NIST SP 800-171, independentemente do tamanho do contrato. O descumprimento pode levar à perda de contratos e exigir notificação ao Diretor de Informações do DoD no prazo de 30 dias após o recebimento do contrato, especificando áreas de não conformidade.

Consequências da não conformidade com o NIST SP 800-171

O NIST SP 800-171 é uma estrutura fundamental para proteger as CUIs, sendo uma base da operação governamental. O descumprimento não é apenas uma quebra de contrato, mas também ameaça a segurança nacional e o compartilhamento eficaz de informações cruciais.

Requisitos do NIST SP 800-171 para o seu cumprimento

Os requisitos do NIST SP 800-171 giram em torno de três áreas principais: Tecnologia, políticas e práticas de TI, com foco em aspectos como auditoria e prestação de contas, configuração de sistemas e procedimentos de autenticação. Eles são projetados para abordar vulnerabilidades e fortalecer uma rede, ajudando os sistemas, redes e funcionários de uma organização a lidar com CUIs de maneira segura e adequada.

Há 110 requisitos na norma NIST SP 800-171, distribuídos por 14 áreas ou categorias diferentes. Cada requisito serve para mitigar vulnerabilidades de segurança específicas, reforçando vários aspectos de uma rede, do controle de acesso à resposta a incidentes. As categorias incluem:

Roteiro do NIST SP 800-171

O NIST SP 800-171 desempenha um papel fundamental na proteção da confidencialidade das informações não classificadas controladas em sistemas e organizações não federais. O roteiro para sua conformidade envolve o planejamento cuidadoso, avaliação completa e monitoramento contínuo dos controles de segurança.

Para começar, um contratado deve avaliar seus sistemas em relação aos 110 controles de segurança descritos no documento do NIST SP 800-171. Posteriormente, um Plano de Segurança de Sistemas (SSP) é desenvolvido, detalhando os controles de segurança já implementados e estratégia do contratado para abordar quaisquer requisitos pendentes. O Plano de Ação e Marcos (POA&M) incluído no SSP que elucida como o contratado abordará os requisitos não atendidos.

Embora a conformidade com o NIST SP 800-171 seja um requisito para qualquer organização que manuseie CUIs, é importante observar que não há um organismo de certificação para isso. As organizações devem autoavaliar e autoatestar sua conformidade. Para os contratados do DoD, o cumprimento é validado utilizando um sistema baseado em pontos, com pontuações submetidas ao Sistema de Risco de Desempenho de Fornecedores (SPRS) do DoD.

As principais etapas para se preparar para uma avaliação do NIST incluem:

Atingir a conformidade e permanecer nesse status é uma jornada contínua, que exige avaliação, projeto, implantação e gerenciamento contínuos de sistemas.

O processo de conformidade também serve como um ponto de partida para alcançar a Certificação do Modelo de Maturidade em Segurança Cibernética (CMMC), outro requisito fundamental para os contratados do DoD. Portanto, manter a conformidade com o NIST SP 800-171 é fundamental não apenas para a segurança e reputação dos contratados individuais, mas também para o ecossistema mais amplo de segurança cibernética.

Melhores práticas do NIST SP 800-171: Uma lista de verificação

As organizações podem fortalecer seu cenário de segurança cibernética enquanto garantem a conformidade regulatória seguindo estas melhores práticas.

Conforme as ameaças cibernéticas tornam-se cada vez mais complexas e frequentes, o cumprimento do NIST SP 800-171 tornou-se um requisito obrigatório, especialmente para organizações como emprenteiros, instituições de pesquisa e prestadores de serviços associados ao governo dos EUA. O descumprimento do NIST SP 800-171 traz graves repercussões. Isso não só compromete os interesses nacionais, mas também pode levar a sanções contratuais e legais, interrupções operacionais e problemas de gerenciamento de riscos organizacionais.

Para resumir, o NIST SP 800-171 desempenha uma dupla função. Ele protege informações governamentais sensíveis, mas não classificadas, e estimula uma cultura de práticas robustas de segurança cibernética em todas as entidades que lidam com CUIs. Sua importância no reforço da segurança nacional, promoção do compartilhamento de informações e fortalecimento do cenário geral da segurança cibernética não pode ser subestimada.

Cumpra o NIST SP 800-171 usando o EventLog Analyzer

O EventLog Analyzer pode ajudar as organizações a cumprir o NIST SP 800-171. Ao manter logs de sistemas, monitorar eventos de sistemas e garantir a segurança da rede e integridade dos dados, o EventLog Analyzer pode simplificar horas de tarefas manuais. Seu poderoso mecanismo de busca possibilita uma análise forense eficaz, enquanto sua análise avançada de ameaças fornece uma resposta robusta a incidentes de segurança cibernética. Seu mecanismo de correlação de eventos em tempo real ajuda na proteção do sistema e comunicação, correlacionando dados de diferentes fontes de logs para identificar ameaças como ataques de força bruta e instalações de software suspeitas. A funcionalidade de gerenciamento integrado de conformidade pode simplificar a auditoria de conformidade de TI com relatórios predefinidos para ajudar a atender às demandas regulatórias. De maneira geral, o EventLog Analyzer contribui significativamente para fortalecer a rede de uma organização e gerenciar CUIs de acordo com o NIST SP 800-171.