NIST 800-171.
CUI-suojaus liittovaltion ulkopuolisissa järjestelmissä: erottakaa vaatimukset, sopimuksessa määrätty revisio ja arviointi selkeästi.
- NIST SP 800-171 Rev. 3 · NIST SP 800-171A Rev. 3
- Kirjoittaja: Jonathan Bezdek
- Tilanne: 22.10.2026
- Lukuaika: 6 min.
Lyhyt vastaus.
NIST 800-171 kuvaa turvallisuusvaatimukset Controlled Unclassified Information- eli CUI-tietojen suojaamiseksi Yhdysvaltain liittovaltion hallinnon ulkopuolisissa järjestelmissä. Viranomaiset käyttävät julkaisua sopimuksissa ja järjestelyissä. Revision 3 on julkaistu toukokuussa 2024. Toimeksiannossa ratkaisevia ovat edelleen sovittu versio, vahvistettu tietolaajuus ja vaadittu arviointi.
NIST SP 800-171 Revision 3:n tausta.
NIST SP 800-171 on yhdysvaltalainen julkaisu tiettyjen viranomaissäänneltyjen tietojen suojaamiseen liittovaltion ulkopuolisissa ympäristöissä. Revision 3:n kohta 1.1 kuvaa yhteyden sopimuksiin ja järjestelyihin. Tästä ei synny yleistä velvollisuutta jokaiselle saksalaiselle yritykselle eikä yleispätevää NIST-sertifikaattia. Lähtökohtana on konkreettinen suhde Yhdysvaltain liittovaltion viranomaiseen tai vastaavaan päätoimeksisaajaan.
CUI tarkoittaa Controlled Unclassified Informationia. Toimivaltaisen Yhdysvaltain viranomaisen NARA:n mukaan kyse on tiedoista, joiden suojaus- tai luovutusehdoista säädetään laissa tai viranomaisten yhteisissä säännöissä. CUI ei ole turvallisuusluokitus eikä kaikkien yrityksen sisäisten luottamuksellisten tietojen yleiskäsite. Asianomainen tietolaji ja sen peruste on selvitettävä. Itse annettu merkintä ei korvaa selvitystä.
Nykyinen julkaisutilanne ja sovittu tarkastustoimeksianto ovat eri tietoja. NIST:n julkaisusivu esittää toukokuun 2024 Revision 3:n Revision 2:n seuraajana. Nykyinen sopimus ei silti automaattisesti siirry julkaisun vuoksi toiselle perustalle. Toimivaltaisen tahon on hyvä vahvistaa todella sovittu revisio, lisävaatimukset ja todentamismenettelyt.
Kenelle CUI-suojaus on merkityksellinen.
NIST 800-171 koskee kuvatulla soveltamisalalla CUI-tietoja käsitteleviä, tallentavia tai siirtäviä järjestelmiä sekä niitä suojaavia komponentteja. Kohta 1.1 edellyttää siksi luotettavaa järjestelmärajausta. Yrityksen nimitys, sijainti Euroopassa tai karkea toimialaluokitus eivät vastaa soveltamisalakysymykseen. Myöskään yksittäistä datahuonetta ei pidä pitää koko laajuutena sen yhteyksiä arvioimatta.
Käytännön valmistelu yhdistää toimeksiannon, tietovirran ja vastuut. Kirjatkaa, mitä tietoja saadaan keneltä, missä niitä käytetään ja mitkä sisäiset tai ulkoiset palvelut osallistuvat. Epäselvät luokittelut on vietävä vastuulliselle viranomaisyhteyshenkilölle tai päätoimeksisaajalle. NIST:n nykyiset CUI-kysymykset ohjaavat vaatimustenmukaisuuskysymykset nimenomaisesti näille tahoille. NIST ei ratkaise yksittäisen sopimuksen täyttymistä.
Myös pienet organisaatiot tarvitsevat konkreettisen sopimuksen oletetun kokovapautuksen sijaan. NIST:n Revision 3 -kysymykset kuvaavat soveltamista kulloinkin toimivaltaisen viranomaisen kautta. Small Business Primer SP 1318 helpottaa pienyritysten aloitusta, mutta ei korvaa standardia tai todellisen palvelulaajuuden arviointia. Pieni organisaatio voi järjestää menettelynsä yksinkertaisesti, mutta sen on käsiteltävä sovitut vaatimukset jäljitettävästi.
NIST 800-171:n vaatimukset yleiskuvana.
Seuraavat kuusi työaluetta kokoavat CUI-suojaustehtävän toimituksellisesti. Ne eivät ole NIST-perheiden uusi luokittelu. Revision 3 ja Small Business Primer SP 1318 yhdistävät organisatoriset päätökset teknisiin toimenpiteisiin. Yksittäisiä vaatimuksia ei tässä toisteta.
Selvittäkää laajuus ja vastuu.
Suojaus alkaa vahvistetuista tiedoista ja kuvatusta järjestelmärajasta. Suunnittelu, vastuut ja suhteet tukipalveluihin kuuluvat yhteen. Nimetkää siksi teknisen vastuun lisäksi henkilö, joka selvittää sopimuskysymykset ja muutokset toimeksiantajan kanssa. Näin toteutus kohdistuu oikeaan asiaan.
Yhdistäkää ihmiset, identiteetit ja käyttöoikeudet.
Valtuutetut henkilöt tarvitsevat asianmukaiset käyttöoikeudet ja ymmärryksen tehtävistään. Revision 3:n perheyleiskatsaus kattaa käytönvalvonnan, tunnistamisen, tietoisuuden ja henkilöstöturvallisuuden. Käytännön toteutuksessa on hyvä tarkastella yhdessä aloittamista, tehtävämuutoksia, etuoikeutettua toimintaa ja poistumista sen sijaan, että pelkkä tekninen kirjautumismekanismi nähtäisiin kokonaisratkaisuna.
Ylläpitäkää järjestelmiä hallitusti.
Määritykset, ylläpito ja eheys tukevat rajatun ympäristön jäljitettävää toimintaa. Primer SP 1318:n yleinen toteutusnäkökulma auttaa yhdistämään aiheet konkreettisiin vastuuhenkilöihin. Muutoksia on hyvä tarkastella CUI-vaikutuksineen ja vaikutuksineen olemassa olevaan näyttöön. Kertaluonteinen kartoitus ei pidä laajuutta jatkuvasti ajan tasalla.
Suojatkaa tiedot ja niiden ympäristö.
CUI-suojaus kattaa muutakin kuin palvelimen tiedot. Viestintää, tallennusvälineitä, fyysistä ympäristöä ja osallistuvia suojauskomponentteja tarkastellaan asianomaisten perheiden yhteydessä. Käytännön kysymys on, missä tiedot todella tulevat saataville ja mitkä henkilöiden, järjestelmien ja palveluntarjoajien väliset siirtymät on suojattava ja dokumentoitava.
Järjestäkää poikkeamat, riskit ja arviointi.
Suojatoimet tarvitsevat palautetta seurannasta, riskien arvioinnista ja poikkeamien käsittelystä. NIST:n nykyiset julkaisut erottavat vaatimuksen sen arvioinnista: dokumentoitu toteutusväite on lähtökohta, ei vielä tarkastustulos. Määrittäkää, kuka arvioi havaitut ongelmat, seuraa toimenpiteitä ja päivittää muuttuneet tiedot järjestelmäkuvaukseen.
Määrittäkää hankinnat ja parametrit jäljitettävästi.
Ulkoiset palvelut ja organisaatiokohtaiset parametrit kuuluvat vahvistettuun toteutukseen. Rev. 3:n usein kysytyt kysymykset selittävät, että viranomaiset voivat määrätä parametriarvot, tarjota valintaohjeita tai sallia määrittämisen. Määräämättömät arvot on täydennettävä. Vapaasti keksityt tai yleisesti kopioidut arvot ilman toimivallan arviointia eivät luo luotettavaa vaatimusperustaa.
CUI-suojauksen järjestäminen jatkuvaksi tehtäväksi.
Vahvistakaa toimeksianto.
Kartoittakaa ratkaiseva sopimus tai järjestely, toimivaltainen taho, vaadittu näyttö ja henkilöt, jotka voivat sitovasti selvittää avoimet tulkintakysymykset.
Rajatkaa tietovirta.
Kuvatkaa vahvistetut CUI-tiedot, osallistuvat henkilöt ja järjestelmät sekä yhteydet suojauskomponentteihin ja ulkoisiin palveluihin todennettavassa järjestelmäkuvauksessa.
Kirjatkaa revisio ja parametrit.
Vahvistakaa sovellettava versio sekä parametriarvojen alkuperä ja vastuu ennen vaatimusten muuttamista toiminnallisiksi tehtäviksi.
Toteuttakaa vastuullisesti.
Kohdistakaa sovitut vaatimukset konkreettisiin menettelyihin, teknisiin asetuksiin ja vastuuhenkilöihin sekä kirjatkaa laajuuden muutokset jäljitettävästi.
Arvioikaa näyttö kohdennetusti.
Suunnitelkaa vahvistettuun tarkastustoimeksiantoon sopivat tutkimukset, keskustelut ja testit sekä dokumentoikaa tulokset, rajat ja avoimet toimenpiteet.
Seuratkaa muutoksia.
Arvioikaa uudet palvelut, tietovirrat ja sopimusmuutokset vastuuhenkilöiden kanssa sekä päivittäkää järjestelmäkuvaus, toimenpiteet ja arviointiasiakirjat vastaavasti.
Arvioinnin ja näytön erillinen ymmärtäminen.
NIST SP 800-171A tarjoaa menettelyt turvallisuusvaatimusten arviointiin. Kohta 1.1 nimeää System Security Planin eli SSP:n arvioinnin laajuuden perustaksi. Kohta 2.1 erottaa tutkimisen, haastattelun ja testaamisen. Tarkastussuunnitelman on hyvä määrittää tutkittavat väitteet ja todisteet. Jokainen esimerkkinä mainittu asiakirja ei automaattisesti ole tarpeen jokaisessa toimeksiannossa.
Arvioinnin on tarkoitus mahdollistaa jäljitettävä johtopäätös todellisesta toteutuksesta sovitulla laajuudella. Syyskuun 2026 Assessment-Primer SP 1352 tarjoaa tähän täydentävän johdannon. Pelkkä prosenttiluku ilman revisiota, järjestelmärajaa ja todennettuja tuloksia auttaa tässä vähän. Toimeksiantajan hyväksymä muoto ja uudelleenarvioinnin tarve on selvitettävä asianomaisessa kehyksessä.
CMMC on oma ohjelmansa, ei NIST 800-171:n toinen nimi. NIST:n CUI-kysymykset kuvaavat yhteyden NIST-vaatimuksiin ja tarkastusmenetelmiin mutta erottavat NIST:n CMMC-sertifioinnista. Vaadittu ohjelmatila tai DoD-arviointi ei siis synny pelkästään Rev. 3 -luettelon käsittelystä. Tästä ei myöskään voida johtaa kaikelle näytölle yleistä voimassaoloaikaa.
Suhde muihin viitekehyksiin.
NIST SP 800-53 on laajempi turvallisuuden ja tietosuojan hallintakeinoluettelo. NIST SP 800-171 on räätälöity kuvattuun CUI-yhteyteen. NIST CSF tukee tavoiteltujen kyberturvallisuustulosten yhteistä jäsentämistä. ISO 27001 järjestää tietoturvan hallintajärjestelmän. Sen sertifikaatti ei korvaa erikseen vaadittua CUI- tai sopimusnäyttöä.
Secanissa.
Secani tarjoaa toimituksellisen NIST SP 800-171 Revision 3 -työluettelon. Profiilitiedot erottavat vahvistetun CUI-laajuuden, sopimusrevision, viranomais- tai sopimusvaatimuksen, parametrivastuun ja ulkoiset palveluntarjoajat. Näin käsittelyn perustana oleva luokittelu voidaan kirjata työn yhteyteen. Luettelo on apuväline, jonka asiantuntija-arvio on vielä tekemättä. Se ei myönnä CMMC-tilaa, DoD-pistemäärää eikä viranomaisen vaatimustenmukaisuuspäätöstä.
Seuraava vaihe.
Aloittakaa konkreettisesta toimeksiannosta ja vahvistetusta tietovirrasta. Kirjatkaa asianomaiset CUI-tiedot, niitä käsittelevät järjestelmät ja henkilö, joka voi vahvistaa sovellettavan sopimusrevision. Vasta tämän jälkeen voidaan mielekkäästi päättää seuraavaksi tarvittava työ ja näyttö. Kuvattu vaiheistus on käytännön ohjenuora, ei viranomaisen määräämä lisäjärjestys.
Lähteet.
- NIST SP 800-171 Rev. 3: julkaisu ja soveltamisala
- NIST SP 800-171 Rev. 3: kohdat 1 ja 2 sekä perheyleiskatsaus
- NARA: Controlled Unclassified Information
- NIST: Revision 3:n ja organisaatiokohtaisten parametrien usein kysytyt kysymykset
- NIST SP 1318: Small Business Primer
- NIST SP 800-171A Rev. 3: kohdat 1.1 ja 2.1
- NIST SP 1352: Assessment Small Business Primer
- NIST: CUI-kysymykset sopimusasioista ja CMMC:stä
Usein kysytyt kysymykset.
Eivät. CUI on laissa tai viranomaismääräyksissä säännelty tietoluokka. Pelkkä sisäinen luottamuksellisuusmerkintä ei riitä. Selvittäkää asianomaiset tiedot ja niiden peruste toimivaltaisen tahon kanssa.
Ei. Nykyinen NIST-julkaisu ja sopimuksessa vaadittu versio on vahvistettava erikseen. Toteutuksessa ja arvioinnissa ratkaisee konkreettisesti sovittu kehys.
Ei. Turvallisuusvaatimuksilla, arviointimenettelyillä ja CMMC-ohjelmatilalla on eri tehtävät. Omien usein kysyttyjen kysymystensä mukaan NIST ei vastaa CMMC-sertifioinnista.
Ei. Ratkaisevia ovat konkreettinen sopimus, olennaiset tiedot ja asianomainen järjestelmälaajuus. Pelkkä yrityksen kotipaikka ei vahvista velvollisuutta eikä poikkeusta.
CUI-suojaus selkeällä laajuudella.
Jäsentäkää Secanissa työn tila, vastuut ja perustana oleva sopimusrevisio.
Tämä sivu antaa yleisiä suuntaviivoja. Ratkaisevia ovat asianomaiset viranomaisvaatimukset, sovittu revisio ja konkreettinen sopimus.