Memahami NIST SP 800‑171: Esensial Kepatuhan bagi Kontraktor Pemerintah
Artikel ini awalnya muncul di IndustryWeek. Tulisan tamu oleh Traci Spencer, Manajer Program Hibah untuk TechSolve, Inc., mitra regional barat daya Ohio MEP, bagian dari MEP National Network™.
Produsen yang terlibat dalam rantai pasokan yang terkait dengan kontrak pemerintah dapat mengantisipasi award tersebut membawa pendapatan tambahan pada tingkat yang mungkin tidak mungkin sebaliknya. Namun, berhasil dalam mendapatkan dan mempertahankan pekerjaan tersebut berarti mematuhi Federal Acquisition Regulation (FAR) dan Defense Federal Acquisition Regulation Supplement (DFARS).
FAR adalah sekumpulan regulasi yang mengatur semua akuisisi dan prosedur kontraksi yang terkait dengan pemerintah AS. DFARS melengkapi FAR sebagai tambahan. Departemen Pertahanan (DoD) adalah badan administratif di balik DFARS, tetapi jangkauan persyaratan DFARS melampaui organisasi itu.
NIST SP 800-171 adalah NIST Special Publication yang menyediakan persyaratan yang direkomendasikan untuk melindungi kerahasiaan informasi nonklasifikasi yang dikontrol (CUI). Kontraktor pertahanan harus menerapkan persyaratan yang direkomendasikan yang terkandung dalam NIST SP 800-171 untuk menunjukkan penyediaan keamanan yang memadai untuk melindungi informasi pertahanan yang tercakup yang termasuk dalam kontrak pertahanan mereka, sebagaimana yang diwajibkan oleh klausul DFARS 252.204-7012. Jika produsen adalah bagian dari rantai pasokan DoD, General Services Administration (GSA), NASA atau agensi federal atau negara bagian lain, implementasi persyaratan keamanan yang termasuk dalam NIST SP 800-171 adalah harus.
Bagaimana Anda Menerapkan NIST SP 800-171?
Mengerti bahwa produsen ingin tahu apa yang harus mereka lakukan untuk menerapkan NIST SP 800-171 dan akhirnya masuk dalam kepatuhan dengan DFARS, dan apakah ada sumber daya khusus yang tersedia untuk membantu mereka mencapai titik awal ini tanpa rintangan yang dapat dicegah. Hal pertama yang harus mereka ingat adalah bahwa menjadi DFARS compliant kemungkinan melibatkan bekerja sama dengan konsultan keamanan siber yang mengetahui persyaratan NIST SP 800-171 dari dalam dan luar.
Disarankan bagi produsen kecil untuk melihat ke Pusat Manufacturing Extension Partnership (MEP) bagian negara bagian mereka. Sebagian dari MEP National Network™, organisasi yang lebih besar yang menghubungkannya ke NIST, perwakilan di Pusat MEP lokal Anda akan memiliki pengetahuan praktis tentang NIST SP 800-171 dan dapat membantu perusahaan mempersiapkan kepatuhan DFARS. Ini dapat menjadi proses pendek atau panjang, tergantung pada kompleksitas lingkungan operasional dan sistem informasi perusahaan, tetapi menerapkan NIST SP 800-171 adalah proses yang diperlukan bagi perusahaan untuk melindungi informasinya.
Apa yang Termasuk dalam Rencana yang Sukses?
Produsen yang ingin mempertahankan kontrak DoD, GSA, NASA dan agensi federal serta negara bagian lain perlu memiliki rencana yang memenuhi persyaratan NIST SP 800-171. Klausul keamanan siber DFARS 252.204-7012 berlaku pada 31 Desember 2017, dan berkaitan dengan pemrosesan, penyimpanan atau transmisi CUI yang ada pada sistem non-federal — seperti yang digunakan oleh kontraktor pemerintah.
Salah satu langkah pertama yang harus diambil produsen adalah mengidentifikasi di mana kesenjangan yang ada yang mencegah mereka menjadi DFARS compliant. Dari titik itu, mereka dapat menentukan bagaimana melanjutkan.
Bagaimana Produsen Harus Mulai Berjalan Menuju Kepatuhan?
MEP National Network menawarkan sumber daya khusus bagi produsen yang membutuhkan informasi tentang postur keamanan siber perusahaan yang dapat membantu perusahaan memahami apa arti menjadi compliant DFARS bagi mereka. Perusahaan dapat melihat apakah kepatuhan DFARS berlaku bagi mereka dan melihat infografis yang merekomendasikan langkah-langkah untuk membuat lantai pabrik mereka lebih aman.
MEP National Network juga menyediakan sumber daya tertentu yang tentu akan dirujuk produsen berkali-kali: NIST Self-Assessment Handbook (NIST Handbook 162). Ini mencakup lebih dari 150 halaman dan membantu pembaca menilai fasilitas mereka untuk menyimpulkan seberapa dekat mereka dengan menerapkan NIST SP 800-171 untuk membantu mereka memahami seberapa dekat mereka dengan menjadi DFARS compliant. Ini juga membantu menentukan di mana fokus usaha saat membuat perbaikan untuk memaksimalkan dampak setiap dolar yang dibelanjakan untuk keamanan siber.
Misalnya, dokumen ini menampilkan konten yang menasihati bagaimana melakukan asesmen dan karyawan yang berlaku yang harus dihubungi terkait persyaratan keamanan. Produsen yang membaca buku pedoman ini akan mencatat bahwa setiap pertanyaan asesmen memiliki opsi “pendekatan alternatif.” Ini merujuk pada fakta bahwa produsen mungkin menemukan beberapa persyaratan dalam NIST SP 800-171 yang tidak berlaku bagi mereka.
Dalam hal itu, dapat diterima untuk menggunakan metode berbeda tetapi sama efektifnya untuk mempertahankan keamanan — asalkan produsen yang bersangkutan memberitahu otoritas pemerintah yang benar tentang perubahan dan mendapat persetujuan untuknya.
Perwakilan pabrik manufaktur juga dapat meningkatkan pemahaman mereka tentang persyaratan kepatuhan dengan menonton webinar yang melalui beberapa elemen penting buku pedoman.
Kompleksitas Tidak Harus Jadi Hambatan
Produsen mungkin awalnya memandang persyaratan keamanan siber untuk kontrak pemerintah sebagai terlalu rumit, terutama jika mereka memiliki operasi kecil.
Namun, dengan menggunakan sumber daya yang tersedia — termasuk Pusat MEP lokal — produsen dapat menyadari bahwa memungkinkan untuk menjadi compliant DFARS, serta tetap compliant, dengan menerapkan persyaratan NIST SP 800-171 dan untuk membuka kemungkinan untuk menerima kontrak pemerintah yang menguntungkan secara finansial dan meningkatkan reputasi.
Pusat MEP lokal adalah sumber daya yang ideal bagi produsen untuk digunakan saat mereka mulai menyelesaikan rencana yang mendetail bagaimana menerapkan persyaratan keamanan siber NIST SP 800-171.
Setiap Pusat MEP memiliki akses ke sumber daya publik dan swasta yang dapat membantu perusahaan masuk dalam kepatuhan dengan lebih percaya diri. Lokasi ada di semua 50 bagian negara dan Puerto Rico.
