Comprendre NIST SP 800‑171 : essentiels de conformité pour les sous-traitants gouvernementaux

Cet article est apparu à l'origine sur IndustryWeek. Billet invité de Traci Spencer, gestionnaire de programme de subventions pour TechSolve, Inc., partenaire régional sud-ouest de l'Ohio MEP, membre du MEP National Network^TM.

Les fabricants impliqués dans des chaînes d'approvisionnement liées aux contrats gouvernementaux peuvent anticiper que ces contrats apportent des revenus supplémentaires à des niveaux qui pourraient ne pas être possibles autrement. Cependant, réussir à obtenir et conserver un tel travail signifie se conformer au Federal Acquisition Regulation (FAR) et au Defense Federal Acquisition Regulation Supplement (DFARS).

Le FAR est un ensemble de réglementations qui régit toutes les procédures d'acquisition et de passation de marchés associées au gouvernement américain. Le DFARS accompagne le FAR comme un ajout. Le Department of Defense (DoD) est l'organe administratif derrière le DFARS, mais la portée des exigences du DFARS s'étend au-delà de cette organisation.

Le NIST SP 800-171 est une publication spéciale du NIST qui fournit les exigences recommandées pour protéger la confidentialité des informations non classifiées contrôlées (CUI). Les sous-traitants de la défense doivent implémenter les exigences recommandées contenues dans le NIST SP 800-171 pour démontrer leur fourniture de sécurité adéquate pour protéger les informations de défense couvertes incluses dans leurs contrats de défense, comme requis par la clause DFARS 252.204-7012. Si un fabricant fait partie d'une chaîne d'approvisionnement DoD, General Services Administration (GSA), NASA ou d'autres agences fédérales ou d'État, l'implémentation des exigences de sécurité incluses dans le NIST SP 800-171 est un must.

Comment implémenter le NIST SP 800-171 ?

Il est compréhensible que les fabricants se demandent ce qu'ils devraient faire pour implémenter le NIST SP 800-171 et finalement se mettre en conformité avec le DFARS, et s'il y a des ressources spécialisées disponibles pour les aider à atteindre cette étape sans pièges évitables. La première chose qu'ils devraient garder à l'esprit est que la conformité DFARS implique probablement de travailler avec un consultant en cybersécurité qui connaît les exigences du NIST SP 800-171 sur le bout des doigts.

Il est conseillé pour les petits fabricants de se tourner vers le centre Manufacturing Extension Partnership (MEP) de leur État. Membre du MEP National Network™, une organisation plus large qui les connecte au NIST, les représentants de votre centre MEP local auront une connaissance pratique du NIST SP 800-171 et pourront aider les entreprises à se préparer à la conformité DFARS. Cela peut être un processus court ou long, selon les complexités de l'environnement opérationnel et des systèmes d'information d'une entreprise, mais implémenter le NIST SP 800-171 est un processus nécessaire pour qu'une entreprise protège ses informations.

Qu'implique un plan réussi ?

Les fabricants qui veulent conserver leurs contrats DoD, GSA, NASA et autres agences fédérales et d'État ont besoin d'un plan qui répond aux exigences du NIST SP 800-171. La clause de cybersécurité DFARS 252,204-7012 est entrée en vigueur le 31 décembre 2017, et traite du traitement, stockage ou transmission de CUI qui existe sur des systèmes non fédéraux — comme ceux utilisés par un sous-traitant gouvernemental.

L'une des premières étapes que les fabricants devraient prendre est d'identifier où existent des écarts qui les empêchent d'être conformes au DFARS. À partir de là, ils peuvent déterminer comment procéder.

Comment les fabricants devraient-ils commencer à travailler vers la conformité ?

Le MEP National Network offre des ressources dédiées pour les fabricants qui ont besoin d'informations sur la posture de cybersécurité d'une entreprise qui peuvent aider les entreprises à comprendre ce que la conformité DFARS signifie réellement pour elles. Les entreprises peuvent voir si la conformité DFARS s'applique à elles et voir des infographies qui recommandent des étapes à prendre pour rendre leurs ateliers plus sécurisés.

Le MEP National Network fournit aussi une ressource particulière que les fabricants se référeront sans doute encore et encore : le NIST Self-Assessment Handbook (NIST Handbook 162). Il s'étend sur plus de 150 pages et aide les lecteurs à évaluer leurs installations pour conclure à quel point ils sont proches d'implémenter le NIST SP 800-171 pour les aider à comprendre à quel point ils sont proches d'être conformes au DFARS. Il aide aussi à déterminer où concentrer les efforts lors des améliorations pour maximiser l'impact de chaque dollar dépensé en cybersécurité.

Par exemple, le document propose du contenu qui conseille comment procéder pour réaliser une évaluation et quels employés concernés contacter concernant les exigences de sécurité. Les fabricants qui lisent le manuel noteront que chaque question d'évaluation a une option « approche alternative ». Cela fait référence au fait que les fabricants peuvent trouver certaines exigences dans le NIST SP 800-171 qui ne s'appliquent pas à eux.

Dans ce cas, il est acceptable d'utiliser une méthode différente mais tout aussi efficace pour maintenir la sécurité — tant que les fabricants respectifs notifient les autorités gouvernementales correctes sur les changements et obtiennent leur approbation.

Les représentants d'usines de fabrication peuvent aussi augmenter leur compréhension des exigences de conformité en regardant un webinaire qui passe en revue certains des éléments cruciaux du manuel.

La complexité ne devrait pas être un obstacle

Les fabricants peuvent initialement voir les exigences de cybersécurité pour les contrats gouvernementaux comme trop compliquées, surtout s'ils ont de petites opérations.

Cependant, en utilisant les ressources disponibles — y compris les centres MEP locaux — les fabricants peuvent réaliser qu'il est possible de se mettre en conformité avec le DFARS, ainsi que de rester en conformité, en implémentant les exigences du NIST SP 800-171 et d'ouvrir des possibilités pour recevoir des contrats gouvernementaux financièrement gratifiants et qui boostent la réputation.

Un centre MEP local est une ressource idéale pour les fabricants à utiliser quand ils commencent à compléter un plan qui détaille comment implémenter les exigences de cybersécurité du NIST SP 800-171.

Chaque centre MEP a accès à des ressources des secteurs public et privé qui peuvent aider les entreprises à entrer en conformité avec plus de confiance. Des emplacements existent dans les 50 États et à Porto Rico.