NIST SP 800-171の理解：政府契約業者のためのコンプライアンス必須知識

この記事は元々IndustryWeekに掲載されました。ゲストブログ投稿者は、Ohio MEPの南西地域パートナーであるTechSolve, Inc.のグラントプログラムマネージャー、トラシ・スペンサー氏です。

政府契約に結びついたサプライチェーンに関わる製造業者は、そうでなければ不可能かもしれないレベルで追加収益をもたらすそれらの契約を期待できます。しかし、そのような仕事を獲得し維持する成功とは、連邦調達規則（FAR）と国防連邦調達規則追補（DFARS）の遵守を意味します。

FARは、米国政府に関連するすべての調達と契約手順を統制する規則セットです。DFARSはFARの追補として付随します。国防総省（DoD）がDFARSの背後にある行政機関ですが、DFARS要件の適用範囲はそれ以上に広がります。

NIST SP 800-171は、管理された非機密情報（CUI）の機密性保護のための推奨要件を提供するNIST特別出版物です。防衛契約業者は、DFARS条項252.204-7012で要求される通り、自社の防衛契約に含まれる対象防衛情報を保護するための適切なセキュリティを提供していることを実証するため、NIST SP 800-171に含まれる推奨要件を実装しなければなりません。製造業者がDoD、一般調達局（GSA）、NASA、その他連邦・州機関のサプライチェーンの一部である場合、NIST SP 800-171に含まれるセキュリティ要件の実装は必須です。

NIST SP 800-171をどう実装するか？

製造業者がNIST SP 800-171を実装し、最終的にDFARSコンプライアンスを達成するために何をすべきか、そして防止可能な落とし穴なしにそのマイルストーンを達成するための専門リソースがあるかどうかを疑問に思うのは理解できます。彼らがまず心に留めておくべきことは、DFARSコンプライアンスには、NIST SP 800-171要件を熟知したサイバーセキュリティコンサルタントと協力することが likely 含まれるということです。

中小製造業者は、自分の州の製造拡張パートナーシップ（MEP）センターを参照することが推奨されます。NISTにつながるより大きな組織であるMEPナショナルネットワーク™の一員として、最寄りのMEPセンターの代表者はNIST SP 800-171の実務知識を持ち、企業のDFARSコンプライアンス準備を支援できます。企業の運営環境と情報システムの複雑さによって短期間にも長期間にもなり得ますが、NIST SP 800-171の実装は、企業が自社情報を保護するために必要なプロセスです。

成功する計画には何が含まれるか？

DoD、GSA、NASA、その他連邦・州機関の契約を維持したい製造業者は、NIST SP 800-171の要件を満たす計画を持つ必要があります。DFARSサイバーセキュリティ条項252.204-7012は2017年12月31日に発効し、非連邦システム（政府契約業者が使用するものなど）上に存在するCUIの処理、保存、伝送を扱います。

製造業者が最初に取るべきステップの一つは、DFARSコンプライアンスを妨げるギャップがどこに存在するかを特定することです。そこから、どう進むかを決定できます。

製造業者はコンプライアンスに向けてどう取り組みを始めるべきか？

MEPナショナルネットワークは、企業のサイバーセキュリティ態勢に関する情報が必要な製造業者向けの専用リソースを提供しており、DFARSコンプライアンス達成が実際に彼らにとって何を意味するかを理解するのに役立ちます。企業はDFARSコンプライアンスが自分たちに適用されるかどうかを確認し、工場現場をより安全にするための推奨ステップを示すインフォグラフィックを閲覧できます。

MEPナショナルネットワークはまた、製造業者が間違いなく繰り返し参照するであろう特定のリソースを提供しています：NIST自己評価ハンドブック（NISTハンドブック162）。150ページ以上にわたり、読者が自社施設を評価し、NIST SP 800-171の実装にどれだけ近いかを判断し、DFARSコンプライアンスにどれだけ近いかを理解するのを助けます。また、サイバーセキュリティに費やされる1ドルのインパクトを最大化するために、改善のどこに努力を集中すべきかを決定するのにも役立ちます。

例えば、この文書には、評価をどう実施するか、セキュリティ要件に関してどの該当従業員と話すべきかを助言する内容が含まれています。ハンドブックを読み進めると、各評価質問に「代替アプローチ」オプションがあることに気づくでしょう。これは、製造業者がNIST SP 800-171の一部の要件が自分たちに適用されないと判断する場合があるという事実を指しています。

その場合、正しい政府当局に変更を通知し、承認を得る限り、セキュリティを維持するための異なるが同等に効果的な方法を使用することは許容されます。

製造工場の担当者は、ハンドブックの重要な要素を説明するウェビナーを視聴することで、コンプライアンス要件の理解を深めることもできます。

複雑さを障壁にしない

製造業者は、政府契約のサイバーセキュリティ要件を最初は複雑すぎると感じるかもしれません、特に小規模オペレーションの場合。

しかし、利用可能なリソース（地域のMEPセンターを含む）を活用することで、製造業者はNIST SP 800-171要件を実装することで、DFARSコンプライアンスを達成し、維持することが可能であり、財政的に報われ評判を高める政府契約を受注する可能性を開くことができることを実感できます。

地域のMEPセンターは、NIST SP 800-171サイバーセキュリティ要件の実装方法を詳細に示した計画を完成させるためのスタート地点として、製造業者が利用するのに理想的なリソースです。

各MEPセンターは、企業がより自信を持ってコンプライアンスを達成できるよう支援する公的・民間セクターのリソースにアクセスできます。全50州とプエルトリコに拠点があります。