Apa itu NIST SP 800-171 dan Siapa yang Perlu Mengikutinya?

Artikel ini awalnya muncul di IndustryWeek. Entri blog tamu oleh Traci Spencer, Manajer Program Hibah untuk TechSolve, Inc., mitra regional barat daya Ohio MEP, bagian dari Jaringan Nasional MEP ^TM .

Pabrikan yang terlibat dalam rantai pasokan yang terikat dengan kontrak pemerintah dapat mengantisipasi penghargaan yang mendatangkan pendapatan tambahan pada tingkat yang mungkin tidak mungkin terjadi sebaliknya. Namun, berhasil mendapatkan dan mempertahankan pekerjaan tersebut berarti mematuhi Federal Acquisition Regulation (FAR) dan Defense Federal Acquisition Regulation Supplement (DFARS).

FAR adalah seperangkat peraturan yang mengatur semua akuisisi dan prosedur kontrak yang terkait dengan pemerintah AS. DFARS menyertai FAR sebagai tambahan. Departemen Pertahanan (DoD) adalah badan administratif di belakang DFARS, tetapi jangkauan persyaratan DFARS meluas ke lebih dari organisasi itu.

NIST SP 800-171 adalah Publikasi Khusus NIST yang menyediakan persyaratan yang direkomendasikan untuk melindungi kerahasiaan informasi rahasia yang dikendalikan (CUI). Kontraktor pertahanan harus menerapkan persyaratan yang direkomendasikan yang terdapat dalam NIST SP 800-171 untuk menunjukkan penyediaan keamanan yang memadai untuk melindungi informasi pertahanan tercakup yang disertakan dalam kontrak pertahanan mereka, sebagaimana diwajibkan oleh klausul DFARS 252.204-7012. Jika produsen adalah bagian dari DoD, Administrasi Layanan Umum (GSA), NASA, atau rantai pasokan lembaga federal atau negara bagian lainnya, penerapan persyaratan keamanan yang disertakan dalam NIST SP 800-171 adalah suatu keharusan.

Bagaimana Anda Menerapkan NIST SP 800-171?

Dapat dimengerti jika produsen bertanya-tanya apa yang harus mereka lakukan untuk menerapkan NIST SP 800-171 dan akhirnya mematuhi DFARS, dan apakah ada sumber daya khusus yang tersedia untuk membantu mereka mencapai pencapaian tersebut tanpa kesulitan yang dapat dicegah. Hal pertama yang harus mereka ingat adalah kepatuhan terhadap DFARS kemungkinan besar melibatkan kerja sama dengan konsultan keamanan siber yang mengetahui persyaratan NIST SP 800-171 luar dalam.

Disarankan bagi produsen kecil untuk melihat ke Pusat Kemitraan Ekstensi Manufaktur (MEP) negara bagian mereka. Sebagai bagian dari MEP National Network™, organisasi yang lebih besar yang menghubungkan mereka ke NIST, perwakilan di Pusat MEP lokal Anda akan memiliki pengetahuan tentang NIST SP 800-171 dan dapat membantu perusahaan mempersiapkan kepatuhan DFARS. Ini bisa menjadi proses yang pendek atau panjang, tergantung pada kompleksitas lingkungan operasi perusahaan dan sistem informasi, tetapi menerapkan NIST SP 800-171 adalah proses yang diperlukan bagi perusahaan untuk melindungi informasinya.

Apa Arti Rencana yang Sukses?

Produsen yang ingin mempertahankan kontrak DoD, GSA, NASA, dan agen federal dan negara bagian lainnya harus memiliki rencana yang memenuhi persyaratan NIST SP 800-171. Klausul keamanan siber DFARS 252.204-7012 mulai berlaku pada 31 Desember 2017, dan menangani pemrosesan, penyimpanan, atau transmisi CUI yang ada pada sistem non-federal — seperti yang digunakan oleh kontraktor pemerintah.

Salah satu langkah pertama yang harus diambil pabrikan adalah mengidentifikasi di mana ada celah yang mencegah mereka mematuhi DFARS. Dari titik itu, mereka dapat menentukan bagaimana untuk melanjutkan.

Bagaimana Produsen Harus Mulai Bekerja Menuju Kepatuhan?

Jaringan Nasional MEP menawarkan sumber daya khusus untuk produsen yang memerlukan informasi tentang postur keamanan siber perusahaan yang dapat membantu perusahaan memahami apa arti kepatuhan terhadap DFARS bagi mereka. Perusahaan dapat melihat apakah kepatuhan DFARS berlaku untuk mereka dan melihat infografis yang merekomendasikan langkah-langkah yang harus diambil untuk membuat lantai pabrik mereka lebih aman.

Jaringan Nasional MEP juga menyediakan sumber daya tertentu yang pasti akan dirujuk berulang kali oleh produsen: Buku Pegangan Penilaian Mandiri NIST (Buku Pegangan NIST 162). Ini mencakup lebih dari 150 halaman dan membantu pembaca menilai fasilitas mereka untuk menyimpulkan seberapa dekat mereka dengan penerapan NIST SP 800-171 untuk membantu mereka memahami seberapa dekat mereka dengan kepatuhan DFARS. Ini juga membantu menentukan di mana harus memfokuskan upaya saat melakukan peningkatan untuk memaksimalkan dampak dari setiap dolar yang dihabiskan untuk keamanan siber.

Misalnya, dokumen tersebut menampilkan konten yang menyarankan cara melakukan penilaian dan karyawan yang berlaku untuk diajak bicara mengenai persyaratan keamanan. Produsen yang membaca buku pegangan akan mencatat bahwa setiap pertanyaan penilaian memiliki opsi "pendekatan alternatif". Ini merujuk pada fakta bahwa produsen mungkin menemukan beberapa  persyaratan  di NIST SP 800-171  yang tidak berlaku untuk mereka.

Dalam hal ini, penggunaan metode yang berbeda namun sama efektifnya untuk menjaga keamanan dapat diterima — selama masing-masing produsen memberi tahu otoritas pemerintah yang benar tentang perubahan tersebut dan mendapatkan persetujuan untuk perubahan tersebut.

Perwakilan pabrik juga dapat meningkatkan pemahaman mereka tentang persyaratan kepatuhan dengan menonton webinar yang membahas beberapa elemen penting dari buku pegangan.

Kompleksitas Seharusnya Tidak Menjadi Hambatan

Produsen awalnya mungkin menganggap persyaratan keamanan siber untuk kontrak pemerintah terlalu rumit, terutama jika mereka memiliki operasi kecil.

Namun, menggunakan sumber daya yang tersedia — termasuk Pusat MEP lokal — memungkinkan produsen menyadari bahwa mungkin untuk mematuhi DFARS, serta tetap mematuhinya, dengan menerapkan persyaratan NIST SP 800-171 dan membuka kemungkinan untuk menerima penghargaan finansial dan kontrak pemerintah yang meningkatkan reputasi.

Pusat MEP lokal adalah sumber daya yang ideal untuk digunakan oleh produsen saat mereka mulai menyelesaikan rencana yang merinci cara menerapkan persyaratan keamanan siber NIST SP 800-171.

Setiap Pusat MEP memiliki akses ke sumber daya sektor publik dan swasta yang dapat membantu perusahaan untuk mematuhinya dengan lebih percaya diri. Lokasi ada di 50 negara bagian dan Puerto Riko.