Kostenlose Checkliste für die Einhaltung von NIST 800-171
Die NIST-Konformität ist für jedes Unternehmen und jeden Dienstanbieter, der kontrollierte nicht klassifizierte Informationen (Controlled Unclassified Information, CUI) im Auftrag der US-Bundesregierung verarbeitet, obligatorisch. Angesichts des erheblichen Risikos für die nationale Sicherheit, wenn diese sensiblen Daten ausgenutzt werden, und des hohen Potenzials ihrer Kompromittierung durch Angriffe auf die Lieferkette ist das Spektrum der Unternehmen, von denen erwartet wird, dass sie diese Cybersicherheitsverordnung einhalten, absichtlich breit gefächert.
Um die Einhaltung der kritischen Sicherheitsanforderungen von NIST SP 800-171 zu unterstützen, haben wir eine Checkliste entwickelt, die ein Informationssicherheitsprogramm begleitet.
Diese Checkliste hilft Ihnen dabei, den Compliancestatus Ihrer Organisation und alle kritischen Mängel zu bewerten, die eine sofortige Behebung erfordern.
Von wem wird erwartet, dass er NIST 800-171 einhält?
Nach Angaben des National Institute of Standards and Technology ist die Einhaltung von NIST 800-171 für die folgenden Entitätskategorien obligatorisch:
- Alle Dienstleister, die Daten für Regierungsbehörden und Bundesbehörden verarbeiten.
- Auftragnehmer der Regierung.
- Jedes Unternehmen mit einem Bundesvertrag.
- Auftragnehmer des Verteidigungsministeriums (DoD-Auftragnehmer).
- Jedes Unternehmen und jeder Subunternehmer, der Bundesinformationen verarbeitet.
- Datenverarbeiter im Gesundheitswesen.
- Bildungseinrichtungen mit Zugriff auf Bundesdaten (z. B. Hochschulen und Universitäten)
Erfahren Sie mehr über NIST 800-171.
Wenn Ihr Unternehmen von einer Datenschutzverletzung betroffen ist und von Ihnen erwartet wird, dass Sie NIST 800-171 einhalten, werden Bundesbeamte das Ereignis wahrscheinlich untersuchen, um das Ausmaß des Schadens an CUI zu bestimmen. Eine solche Bewertung bestimmt den Grad der Einhaltung der Vorschriften zum Zeitpunkt des Vorfalls.
Wenn festgestellt wird, dass die Bemühungen Ihrer Organisation zum Schutz von CUI unzureichend waren, können die folgenden Konsequenzen auftreten:
- Empfindliche Strafen der Bundesregierung - zusätzlich zu den üblichen damit verbundenen Kosten für Datenschutzverletzungen.
- Ein Verstoß gegen den False Claims Act.
- Beendigung von Bundesverträgen.
- Schwarze Liste des Auftragnehmerstatus
Was ist CUI?
Ein genauerer Blick auf die spezielle Kategorie sensibler Informationen, die durch diese NIST-Verordnung geschützt sind, hilft Ihnen zu verstehen, ob von Ihrem Unternehmen erwartet wird, dass Sie sich daran halten.
Wenn Ihr Unternehmen eine der folgenden Arten von Informationen verarbeitet, die in irgendeiner Weise mit der Bundesregierung in Verbindung stehen, müssen Sie die NIST-Sonderveröffentlichung 800-171 einhalten.
- E-Mails
- Elektronische und Papierdokumente
- Geschützte Informationen
- Designs und Spezifikationen
- Geistiges Eigentum
Auf einer tieferen Ebene ist CUI in 18 Kategorien unterteilt. Möglicherweise stellen Sie fest, dass Ihre Organisation mit den spezifischen Branchen verknüpft ist, denen einige dieser Kategorien zugeordnet sind.
- Kritische Infrastruktur
- Verteidigung
- Exportkontrolle
- Finanziell
- Einwanderung
- Intelligenz
- Internationale Abkommen
- Gesetzesvollzug
- Rechtlich
- Natürliche und kulturelle Ressourcen
- Nordatlantikpakt-Organisation (NATO)
- Nuklear
- Patent
- Privatsphäre
- Beschaffung und Akquise
- Statistisch
- Steuer
- Transport
Eine detaillierte Beschreibung der Datentypen innerhalb der einzelnen CUI-Kategorien finden Sie in dieser Liste der National Archives and Records Administration (NARA).
Checkliste für die Einhaltung von NIST 800-171
Die folgende Checkliste hilft Ihnen, die Einhaltung der Sicherheitsstandards und Compliance-Anforderungen von NIST 800-171 zu verfolgen. Diese kostenlose NIST 800-171-Compliance-Checkliste hilft Ihrem Sicherheitsteam auch bei der Vorbereitung aller relevanten Dokumentationen und Compliance-Berichte für Prüfer.
NIST 800-171 leitet einen Großteil seiner Sicherheitskontrollen von NIST 800-53 ab, da es sich um eine Teilmenge dieses Cybersicherheitsstandards handelt.
Eine detaillierte Aufschlüsselung der einzelnen Sicherheitskontrollen, die den einzelnen Anforderungen von NIST 800-171 und NIST 800-53 zugeordnet sind, finden Sie in diesem Dokument der University of Cincinnati.
Erfahren Sie mehr über NIST 800-53.
Diese Checkliste wurde absichtlich aus der vollständigen (und überwältigenden) Liste von 110 Compliance-Anforderungen zusammengefasst, die von NIST skizziert wurden.
🔲 Identifizieren Sie alle Ressourcen, die CUI verarbeiten.
🔲 Ordnen Sie den CUI-Datenfluss in Ihrem IT-Ökosystem zu.
🔲 Führen Sie interne und externe Risikobewertungen durch, um potenzielle Schwachstellen zu entdecken, die die Integrität und Vertraulichkeit von CUI bedrohen.
🔲 Definieren Sie auf der Grundlage der Ergebnisse der Sicherheitsbewertung einen klaren Aktionsplan und Meilensteine (POA&M).
🔲 Definieren Sie eine NIST-Compliance-Baseline und einen Reifegradpfad für eine vollständige Compliance.
🔲 Dokumentieren und bewerten Sie die CUI-Zugriffsanforderungen aller Mitarbeiter und Drittanbieter.
🔲 Identifizieren Sie Abteilungen und Mitarbeiter mit Zugriff auf CUI.
🔲 Implementieren Sie Zugriffssteuerungsrichtlinien, um den Zugriff auf CUI einzuschränken.
🔲 Stellen Sie sicher, dass alle Sicherheitsrichtlinien, Zugriffsdatensätze und Dokumentationen zu Sicherheitskontrollen in einem SSP-Dokument (System Security Plan) erwähnt werden.
🔲 Erwerben Sie mindestens eine Cybersecurity Maturity Model Certification (CMMC) der Stufe drei.
>🔲 Implementieren Sie das NIST Cybersecurity Framework (CSF).
🔲 Erstellen Sie einen Incident Response Plan, der den Schutz von CUI priorisiert.
🔲 Führen Sie regelmäßig simulierte Übungen zu Sicherheitsvorfällen durch, um die System- und Informationsintegrität zu testen.
🔲 Führen Sie regelmäßige Penetrationstests durch, um die Ausfallsicherheit aller Kontrollfamilien, einschließlich physischer Access Points, zu bewerten.
🔲 Erzwingen Sie die Multi-Faktor-Authentifizierung auf allen Endpunkten.
🔲 Implementierung von Lösungen zur Kontrolle des Zugriffs auf Systemdaten (Firewalls, Verschlüsselung, Proxyserver usw.).
🔲 Implementieren Sie Sensibilisierungsschulungen, in denen die Rolle der Personalsicherheit bei der Erreichung der NIST-Compliance erläutert wird.
🔲 Implementieren Sie ein Vendor Risk Management (VRM)-Programm, um CUI-Kompromittierungen durch Angriffe auf die Lieferkette zu minimieren.
🔲 Implementieren Sie Konfigurationsmanagement-Richtlinien, um Software-Gefährdungen und Datenlecks zu verhindern.
🔲 Implementieren Sie Medienschutzstrategien für alle externen Festplatten, um Datenbeschädigung und Datenverlust zu minimieren.
🔲 Sammeln Sie Audit-Trail-Nachweise, um die Arbeit der Prüfer zu optimieren.
Checkliste für die Selbstbewertung von NIST 800-171
🔲 Aggregieren Sie alle implementierten Sicherheitsrichtlinien, physischen Schutzrichtlinien und alle Lösungen zum Schutz kontrollierter nicht klassifizierter Informationen.
🔲 Aggregieren Sie Daten aus früheren Audits und Selbstbewertungen.
🔲 Ernennen Sie Vertreter der Steuerungsfamilie, die bei Bedarf sofort über den Status der System- und Kommunikationsschutzmaßnahmen berichten.
🔲 Definieren Sie den Lebenszyklus aller Self-Assessments klar (Start- und Endpunkt).
🔲 Listen Sie alle Sicherheitskontrollen und Cybersicherheitsmethoden zum Schutz von CUI auf.
🔲 Halten Sie die Stakeholder mit Executive Reports über die Ergebnisse aller Selbsteinschätzungen auf dem Laufenden.
🔲 Implementieren Sie eine Lösung zur Automatisierung von Risikobewertungen, um die Selbstbewertungs- und Dienstleisterbewertungsprozesse zu rationalisieren.