NIST 800-171: o que a plataforma cobre
O NIST 800-171 trata da proteção de um tipo específico de informação: dados do governo dos Estados Unidos que não são classificados, mas também não são públicos, quando estão em posse de uma organização que não é do governo.
Ele é o framework mais específico do catálogo em termos de público, e o mais claro em termos de gatilho: você usa porque um contrato exige.
Para quem serve#
Para empresas que participam da cadeia de fornecimento do governo americano, com destaque para a área de defesa.
Os casos:
- A empresa presta serviço, direta ou indiretamente, a órgãos de defesa dos Estados Unidos.
- Um contrato com fornecedor americano repassa essa exigência à sua empresa.
- A empresa pretende entrar nessa cadeia e quer se preparar.
Ele também é a base técnica do CMMC, o programa de certificação que verifica se o fornecedor de defesa realmente atende. Se você foi informado sobre CMMC, este catálogo é o conteúdo por trás dele.
Se a sua empresa não atua nesse mercado, este framework não tem uso prático.
A diferença em relação ao 800-53#
As duas publicações são do mesmo instituto e servem a propósitos diferentes:
NIST 800-53 | NIST 800-171 | |
|---|---|---|
Para quem | Sistemas do próprio governo | Organizações fora do governo |
Tamanho | Catálogo extenso | Conjunto bem menor e focado |
Foco | Segurança e privacidade em geral | Proteção de um tipo específico de informação |
Como chega até você | FedRAMP ou contrato | Contrato, normalmente de defesa |
Na prática, o 800-171 é mais viável de atender: ele é derivado do catálogo maior, mas selecionado para o que importa na proteção daquela informação específica.
Tudo gira em torno de saber onde a informação está#
Se há um trabalho que precede todos os outros, é este: identificar onde a informação protegida entra, circula e é armazenada na sua empresa.
A razão é a mesma do PCI DSS. Os requisitos se aplicam ao ambiente onde essa informação está. Reduzir esse ambiente reduz o escopo de forma legítima e drástica.
As decisões que mais ajudam:
- Segregar o ambiente que trata essa informação do resto da operação.
- Restringir quem tem acesso a ele.
- Não deixar a informação circular por ferramentas de uso geral, como e-mail e armazenamento compartilhado sem controle.
Empresas que fazem isso primeiro atendem o catálogo com uma fração do esforço.
O que ele cobra, em linhas gerais#
Os requisitos se organizam em famílias que cobrem controle de acesso, conscientização e treinamento, auditoria e responsabilização, gestão de configuração, identificação e autenticação, resposta a incidentes, manutenção, proteção de mídia, segurança de pessoal, proteção física, avaliação de risco, avaliação de segurança, proteção de sistema e comunicações, e integridade de sistema e informação.
A ênfase está em restringir e registrar: quem acessa, o que faz, e como isso fica documentado.
O que é comprovado automaticamente e o que não é#
Área | Como costuma ser comprovada |
|---|---|
Controle de acesso, identificação, autenticação | Integrações |
Gestão de configuração e proteção de sistemas | Integrações |
Auditoria e registro de eventos | Integrações |
Resposta a incidentes | Módulo de Incidentes |
Avaliação de risco | Módulo de Riscos |
Políticas e procedimentos por família | Documentos publicados |
Treinamento e conscientização | Evidência enviada |
Segurança de pessoal, verificação de antecedentes | Evidência |
Proteção física e de mídia | Evidência, ou responsabilidade do provedor |
Por onde começar#
- Leia o contrato. Ele define o que se aplica e a partir de quando. É a referência que manda.
- Mapeie onde a informação protegida está. Este é o entregável que organiza todo o projeto.
- Reduza e segregue esse ambiente antes de trabalhar requisitos.
- Conecte as integrações que cobrem acesso, configuração e registro.
- Publique as políticas de cada família aplicável.
- Registre o treinamento de quem tem contato com a informação.
- Se o CMMC estiver no caminho, alinhe o cronograma com o avaliador desde o início.
O que costuma dar problema#
- Ambiente não segregado. Se a informação circula por toda a empresa, toda a empresa entra no escopo.
- Informação em ferramenta de uso geral. É o achado mais comum e o mais fácil de evitar.
- Ausência de registro de acesso. Saber quem acessou o quê é exigência recorrente.
- Tratar como equivalente ao 800-53. São publicações diferentes, com públicos diferentes.