Frameworks – NIST 800-171: o que a plataforma cobre
O NIST 800-171 trata da proteção de um tipo específico de informação: dados do governo dos Estados Unidos que não são classificados, mas também não são públicos, quando estão em posse de uma organização que não é do governo.
Ele é o framework mais específico do catálogo em termos de público, e o mais claro em termos de gatilho: você usa porque um contrato exige.
Para quem serve
Para empresas que participam da cadeia de fornecimento do governo americano, com destaque para a área de defesa.
Os casos:
- A empresa presta serviço, direta ou indiretamente, a órgãos de defesa dos Estados Unidos.
- Um contrato com fornecedor americano repassa essa exigência à sua empresa.
- A empresa pretende entrar nessa cadeia e quer se preparar.
Ele também é a base técnica do CMMC, o programa de certificação que verifica se o fornecedor de defesa realmente atende. Se você foi informado sobre CMMC, este catálogo é o conteúdo por trás dele.
Se a sua empresa não atua nesse mercado, este framework não tem uso prático.
A diferença em relação ao 800-53
As duas publicações são do mesmo instituto e servem a propósitos diferentes:
| NIST 800-53 | NIST 800-171 | |
|---|---|---|
| Para quem | Sistemas do próprio governo | Organizações fora do governo |
| Tamanho | Catálogo extenso | Conjunto bem menor e focado |
| Foco | Segurança e privacidade em geral | Proteção de um tipo específico de informação |
| Como chega até você | FedRAMP ou contrato | Contrato, normalmente de defesa |
Na prática, o 800-171 é mais viável de atender: ele é derivado do catálogo maior, mas selecionado para o que importa na proteção daquela informação específica.
Tudo gira em torno de saber onde a informação está
Se há um trabalho que precede todos os outros, é este: identificar onde a informação protegida entra, circula e é armazenada na sua empresa.
A razão é a mesma do PCI DSS. Os requisitos se aplicam ao ambiente onde essa informação está. Reduzir esse ambiente reduz o escopo de forma legítima e drástica.
As decisões que mais ajudam:
- Segregar o ambiente que trata essa informação do resto da operação.
- Restringir quem tem acesso a ele.
- Não deixar a informação circular por ferramentas de uso geral, como e-mail e armazenamento compartilhado sem controle.
Empresas que fazem isso primeiro atendem o catálogo com uma fração do esforço.
O que ele cobra, em linhas gerais
Os requisitos se organizam em famílias que cobrem controle de acesso, conscientização e treinamento, auditoria e responsabilização, gestão de configuração, identificação e autenticação, resposta a incidentes, manutenção, proteção de mídia, segurança de pessoal, proteção física, avaliação de risco, avaliação de segurança, proteção de sistema e comunicações, e integridade de sistema e informação.
A ênfase está em restringir e registrar: quem acessa, o que faz, e como isso fica documentado.
O que é comprovado automaticamente e o que não é
| Área | Como costuma ser comprovada |
|---|---|
| Controle de acesso, identificação, autenticação | Integrações |
| Gestão de configuração e proteção de sistemas | Integrações |
| Auditoria e registro de eventos | Integrações |
| Resposta a incidentes | Módulo de Incidentes |
| Avaliação de risco | Módulo de Riscos |
| Políticas e procedimentos por família | Documentos publicados |
| Treinamento e conscientização | Evidência enviada |
| Segurança de pessoal, verificação de antecedentes | Evidência |
| Proteção física e de mídia | Evidência, ou responsabilidade do provedor |
Por onde começar
- Leia o contrato. Ele define o que se aplica e a partir de quando. É a referência que manda.
- Mapeie onde a informação protegida está. Este é o entregável que organiza todo o projeto.
- Reduza e segregue esse ambiente antes de trabalhar requisitos.
- Conecte as integrações que cobrem acesso, configuração e registro.
- Publique as políticas de cada família aplicável.
- Registre o treinamento de quem tem contato com a informação.
- Se o CMMC estiver no caminho, alinhe o cronograma com o avaliador desde o início.
O que costuma dar problema
- Ambiente não segregado. Se a informação circula por toda a empresa, toda a empresa entra no escopo.
- Informação em ferramenta de uso geral. É o achado mais comum e o mais fácil de evitar.
- Ausência de registro de acesso. Saber quem acessou o quê é exigência recorrente.
- Tratar como equivalente ao 800-53. São publicações diferentes, com públicos diferentes.
⚠️ Esta página descreve o propósito e a estrutura geral do catálogo em linguagem própria, para orientar o uso da plataforma. As publicações do instituto responsável são de acesso público e são a referência oficial. O escopo aplicável e o prazo devem ser confirmados no contrato e com quem conduz a exigência.
Este artigo foi útil?