Come conformarsi a NIST SP 800-171 Revisione 3

Il National Institute of Standards and Technology (NIST) ha sviluppato il framework NIST 800-171 per stabilire linee guida e requisiti di sicurezza per la protezione delle informazioni non classificate controllate (CUI). Il NIST ha creato per la prima volta il framework nel giugno 2015, ma da allora ha rivisto la pubblicazione più volte, l'ultima nel novembre 2023.

L'ultima revisione del NIST, nota come NIST 800-171 Revision 3, include aggiornamenti significativi alle famiglie di controlli della pubblicazione, ai controlli di sicurezza (ex NFO), ai criteri di personalizzazione e ai parametri definiti dall'organizzazione (ODP). La revisione 3 richiede in particolare alle organizzazioni di rispettare i rigorosi requisiti di gestione del rischio di terze parti (TPRM), tra cui l'implementazione di flussi di lavoro di valutazione del rischio, il monitoraggio continuo e ulteriori strategie relative alla gestione del rischio della catena di approvvigionamento (SCRM).

Continua a leggere per scoprire cosa deve fare la tua organizzazione per conformarsi all'ultima revisione del NIST 800-171 e scopri come UpGuard può aiutarti nel tuo percorso per diventare conforme al NIST.

Scopri la soluzione di gestione del rischio di terze parti #1 al mondo: UpGuard Vendor Risk >

Che cos'è la pubblicazione speciale NIST 800-171?

Il blog sulla sicurezza informatica di UpGuard include una panoramica completa di NIST SP 800-171 e una checklist gratuita per la conformità NIST 800-171. Leggere queste risorse è il modo migliore per familiarizzare con i dettagli della pubblicazione, poiché questo articolo toccherà rigorosamente gli aggiornamenti inclusi nella Rev. 3 (nonché l'impatto di questi aggiornamenti sulle organizzazioni che in precedenza erano conformi al NIST 800-171 Rev. 2).

Ecco un rapido aggiornamento sui componenti critici di NIST 800-171:

• Si concentra sulla protezione della CUI nei sistemi e nelle organizzazioni non federali
• Fornisce alle agenzie federali strategie di base per salvaguardare la riservatezza delle CUI
• Copre 17 famiglie di controlli su argomenti come il controllo degli accessi, l'identificazione e l'autenticazione
• Tutti gli appaltatori del Dipartimento della Difesa (DoD) devono essere conformi al NIST (DFARS 252.204-7012)
• Spesso paragonato alla Cybersecurity Maturity Model Certification (CMMC)

Perché è importante NIST SP 800-171 Revisione 3?

L'ultima revisione del NIST SP 800-171 è fondamentale perché impone severi requisiti TPRM a tutti gli appaltatori governativi e ai fornitori associati che gestiscono le informazioni federali. In totale, la revisione 3 della pubblicazione include 17 nuovi requisiti precedentemente non inclusi nella revisione 2.

Il NIST ha creato diversi documenti di supporto per accompagnare la pubblicazione, tra cui un'analisi dettagliata del NIST 800-171 che tiene traccia di tutti i cambiamenti significativi (compresa la formattazione della sezione di discussione e i cambiamenti nella metodologia) apportati tra la Rev. 2 e la Rev. 3. e un prototipo di sovrapposizione CUI.

Quando sarà finalizzato il NIST SP 800-171R3?

Le organizzazioni interessate dall'ultima revisione NIST 800-171 devono agire rapidamente per implementare le soluzioni prima che il NIST finalizzi il documento e sia richiesta la conformità. Il NIST mira a completare il documento entro la prima metà del 2024, mentre l'istituto condurrà valutazioni e audit formali entro l'inizio del 2025.

Il NIST ha pubblicato la bozza pubblica iniziale (IPD) della Rev.3 il 10 maggio 2023. Dopo aver pubblicato l'IPD, l'istituto ha tenuto un periodo di commenti pubblici per apportare modifiche al campo prima di rilasciare la bozza pubblica finale (FPD) nel novembre 2023.

Quali sono i requisiti TPRM di NIST 800-171 Rev. 3?

I requisiti TPRM del NIST 800-171 Rev. 3 sono vasti e possono mettere alla prova anche le organizzazioni più preparate. Se la tua organizzazione sta cercando di espandere il proprio programma di gestione del rischio, questo è il miglior piano d'azione:

Inizia sviluppando una comprensione dei più recenti requisiti NIST, quindi valuta i tuoi processi TPRM rispetto a questi requisiti per identificare eventuali lacune di conformità nel tuo programma. Infine, affronta queste lacune e implementa strategie per elevare il tuo programma TPRM e aderire pienamente alle più recenti specifiche di NIST 800-171.

Scopri come UpGuard aiuta le organizzazioni a migliorare i loro programmi TPRM>

I requisiti TPRM più critici del NIST 800-171 Rev. 3 includono:

• 3.11.1 - Valutazione del rischio: richiede alle organizzazioni di valutare i rischi dell'elaborazione, dell'archiviazione o della trasmissione di CUI e di aggiornare periodicamente le valutazioni del rischio
• 3.11.2 - Monitoraggio e scansione delle vulnerabilità: richiede alle organizzazioni di monitorare e scansionare le vulnerabilità e rimediare alle vulnerabilità identificate
• 3.12.2 - Piano d'azione e tappe fondamentali: richiede alle organizzazioni di creare un piano d'azione per correggere le carenze ed eliminare le vulnerabilità
• 3.12.3 - Monitoraggio continuo: richiede alle organizzazioni di installare un monitoraggio continuo e valutazioni di sicurezza per proteggere il proprio sistema

3.11.1 Valutazione del rischio

I requisiti di valutazione dei rischi di NIST 800-171 rendono necessario per le organizzazioni che elaborano, archiviano o trasmettono CUI sviluppare flussi di lavoro per valutare i rischi associati al loro funzionamento. Le valutazioni dei rischi di un'organizzazione devono valutare i rischi di prime parti e di terze parti, inclusi i rischi di conformità della catena di approvvigionamento e dei fornitori. L'organizzazione è inoltre responsabile dell'aggiornamento periodico di queste valutazioni dei rischi per stare al passo con i cambiamenti del sistema informativo e le espansioni della catena di approvvigionamento.

UpGuard Vendor Risk ha aiutato centinaia di organizzazioni a semplificare il processo di valutazione del rischio dei fornitori. La nostra soluzione fornisce l'accesso a valutazioni del rischio personalizzate su misura per le relazioni con i fornitori di un'organizzazione e per l'esposizione al rischio specifico.

Utilizzando UpGuard Vendor Risk per migliorare il processo di valutazione della sicurezza del fornitore, la tua organizzazione può:

• Elimina la necessità di valutazioni lunghe e soggette a errori basate su fogli di calcolo
• Raccogli le prove e correggi o elimina i rischi nello stesso flusso di lavoro facile da usare
• Riduci il tempo necessario per valutare un fornitore nuovo o esistente
• Rispettare i requisiti di valutazione del rischio di NIST 800-171

3.11.2 Monitoraggio e scansione delle vulnerabilità

Il NIST 800-171 richiede ora alle organizzazioni applicabili di installare strategie di monitoraggio e scansione delle vulnerabilità continue nel loro programma TPRM. Questi requisiti costringono inoltre le organizzazioni a correggere tempestivamente le vulnerabilità note e ad aggiornare l'ambito del sistema di monitoraggio delle vulnerabilità per individuare nuove vulnerabilità man mano che vengono identificate e segnalate.

Le soluzioni di sicurezza informatica di UpGuard garantiscono la tranquillità delle organizzazioni monitorando le superfici di attacco esterne e di terze parti alla ricerca di vulnerabilità. Le organizzazioni che utilizzano UpGuard per il monitoraggio delle vulnerabilità:

• Acquisisci fiducia nel loro programma di sicurezza informatica
• Garantisci un monitoraggio continuo tra gli asset digitali e i fornitori di terze parti
• Ottieni una visibilità totale sulle risorse esterne, note e sconosciute
• Salvaguardare la reputazione del proprio marchio
• Rispetta i requisiti di monitoraggio delle vulnerabilità di NIST 800-171

3.12.2 Piano d'azione e tappe fondamentali

L'ultima revisione NIST 800-171 richiede agli appaltatori governativi di sviluppare flussi di lavoro per la correzione dei rischi e la gestione delle vulnerabilità. Più specificamente, le organizzazioni devono creare un piano d'azione e tappe fondamentali per il proprio sistema interno che documenti le azioni correttive e le vulnerabilità eliminate. Le organizzazioni devono inoltre aggiornare questo piano con i risultati pertinenti delle valutazioni della sicurezza, degli audit indipendenti o delle attività di monitoraggio.

UpGuard Vendor Risk elimina il problema di inseguire i fornitori per rimediare ai rischi preparando piani di correzione personalizzati basati sulle valutazioni dei rischi dei fornitori e sulle best practice del settore. La libreria di report di UpGuard consente inoltre alle organizzazioni di tenere informati gli stakeholder con report facili da usare, veloci e personalizzabili.

Utilizzando le soluzioni di correzione e reporting di UpGuard, la tua organizzazione sarà in grado di:

• Risparmia tempo e distribuisci le risorse di sicurezza in modo più efficiente
• Monitora il processo di correzione e registra quando i fornitori completano la correzione
• Sviluppa report personalizzati di conformità e correzione
• Migliora il tuo livello di sicurezza e la tua valutazione
• Rispettare i requisiti del piano d'azione di NIST 800-171

3.12.3 Monitoraggio continuo

Le organizzazioni sono ora tenute a installare strategie di monitoraggio continuo per ottenere la conformità con NIST 800-171. Queste strategie devono includere processi di monitoraggio continui e valutazioni di sicurezza pertinenti.

UpGuard consente alle organizzazioni di assumere il controllo della propria posizione di sicurezza identificando le vulnerabilità, rilevando le modifiche e scoprendo potenziali minacce e vulnerabilità 24 ore su 24, 7 giorni su 7.

Utilizzando UpGuard per TPRM e la gestione della superficie di attacco, la tua organizzazione sarà in grado di:

• Monitora e gestisci costantemente le esposizioni lungo la tua supply chain
• Identifica in modo proattivo e assegna priorità alle vulnerabilità dei fornitori per la correzione
• Prendi decisioni informate sui rischi sulla base di informazioni accurate e in tempo reale
• Conformità ai requisiti di monitoraggio continuo di NIST 800-171

UpGuard offre soluzioni complete di sicurezza informatica che consentono alle organizzazioni di elevare i propri programmi e funzioni TPRM, ASM e SCRM e di ottenere la conformità con framework significativi, tra cui NIST SP 800-171.

Il toolkit UpGuard include le seguenti funzionalità e soluzioni:

• Monitoraggio continuo: ottieni aggiornamenti in tempo reale e gestisci le esposizioni sulla tua superficie di attacco, inclusi domini, IP, app, endpoint, plug-in e firewall
• Riduzione della superficie di attacco: riduci la superficie di attacco individuando vulnerabilità sfruttabili e domini a rischio di typosquatting
• Profilo di sicurezza condiviso: crea un profilo condiviso UpGuard per eliminare il fastidio di rispondere ai questionari di sicurezza
• Flussi di lavoro e deroghe: semplifica i flussi di lavoro di correzione, elimina rapidamente i rischi e rispondi alle domande di sicurezza
• Reportistica e approfondimenti: accedi a report personalizzati per le parti interessate, i funzionari appaltatori e i dirigenti e visualizza le informazioni sulla tua superficie di attacco esterna
• Questionari sulla sicurezza dei fornitori: automatizza i questionari sulla sicurezza per ottenere informazioni più approfondite sulle relazioni con i fornitori e sulla posizione di sicurezza
• Valutazioni di sicurezza: valuta il livello di sicurezza dei singoli fornitori utilizzando le nostre valutazioni di sicurezza basate sui dati, oggettive e dinamiche
• Valutazioni dei rischi: semplifica i flussi di lavoro di valutazione dei rischi, raccogli prove e richiedi rapidamente la correzione