NIST 800-171.
CUI-védelem nem szövetségi rendszerekben: különítse el világosan a követelményeket, a szerződés szerinti felülvizsgálatot és az értékelést.
- NIST SP 800-171 Rev. 3 · NIST SP 800-171A Rev. 3
- Szerző: Jonathan Bezdek
- Állapot: 2026. 10. 22.
- Olvasási idő: 8 perc
Rövid válasz.
A NIST 800-171 az amerikai szövetségi közigazgatáson kívüli rendszerekben kezelt Controlled Unclassified Information, röviden CUI védelmének biztonsági követelményeit írja le. A hatóságok szerződésekben és megállapodásokban használják a kiadványt. A 3. felülvizsgálat 2024 májusa óta közzétett; egy megbízásnál az egyeztetett változat, a megerősített adatkör és a megkövetelt értékelés marad irányadó.
A NIST SP 800-171 3. felülvizsgálatának áttekintése.
A NIST SP 800-171 amerikai kiadvány bizonyos, hatóságilag szabályozott információk védelmére nem szövetségi környezetben. A 3. felülvizsgálat 1.1. szakasza leírja a szerződésekhez és megállapodásokhoz való kapcsolódását. Ebből nem keletkezik minden német vállalatnak általános kötelezettség vagy univerzális NIST-tanúsítvány. A kiindulópont a konkrét kapcsolat egy amerikai szövetségi hatósággal vagy megfelelő fővállalkozóval.
A CUI a Controlled Unclassified Information rövidítése, és az illetékes amerikai NARA hatóság szerint jogszabályban vagy hatósági szinten szabályozott védelmi, illetve továbbadási feltételekkel rendelkező információkat jelöl. A CUI nem titkos minősítés, és nem minden belsőleg bizalmas vállalati adat gyűjtőfogalma. Az érintett információtípust és annak alapját tisztázni kell; egy saját címke nem helyettesíti ezt.
Az aktuális kiadványállapot és az egyeztetett vizsgálati megbízás külön adatok. A NIST kiadványoldala a 2024. májusi 3. felülvizsgálatot a 2. felülvizsgálat utódjaként jelöli. Ettől a közzétételtől azonban egy meglévő szerződés nem áll át automatikusan más alapra. Az illetékes szervezetnek meg kell erősítenie, mely felülvizsgálatban, kiegészítő előírásokban és igazolási eljárásokban állapodtak meg ténylegesen.
Kinek releváns a CUI-védelem?
A NIST 800-171 a leírt alkalmazási területen a CUI-t feldolgozó, tároló vagy továbbító rendszereket, valamint az ezeket védő összetevőket érinti. Az 1.1. szakasz ezért megalapozott rendszerlehatárolást követel meg. A vállalati megnevezés, az európai székhely vagy egy hozzávetőleges ágazati besorolás nem válaszolja meg az alkalmazási terület kérdését. Egyetlen adatszobát sem szabad teljes terjedelemnek tekinteni a kapcsolatainak vizsgálata nélkül.
A gyakorlati felkészülés a megbízást, információáramlást és felelősségi köröket kapcsolja össze. Rögzítse, milyen információ kitől érkezik, hol használják, és milyen belső vagy külső szolgáltatások vesznek részt. A tisztázatlan besorolások az illetékes hatósági kapcsolattartóhoz vagy fővállalkozóhoz tartoznak. Az aktuális NIST CUI GYIK kifejezetten hozzájuk irányítja az ilyen megfelelőségi kérdéseket; a NIST nem dönt egy konkrét szerződés teljesítéséről.
A kis szervezeteknek is konkrét megállapodásra van szükségük, feltételezett méretalapú mentesség helyett. A NIST 3. felülvizsgálati GYIK-je a mindenkor illetékes hatóság általi alkalmazást írja le. Az SP 1318 Small Business Primer megkönnyíti a kisebb vállalatok indulását, de sem a szabványt, sem a tényleges szolgáltatási terjedelem vizsgálatát nem helyettesíti. Egy átlátható szervezet egyszerűen alakíthatja folyamatait, de az egyeztetett követelményeket követhetően kell kezelnie.
A NIST 800-171 követelményeinek áttekintése.
A következő hat munkaterület szerkesztett módon foglalja össze a CUI-védelmi feladatot; nem a NIST-családok új felosztása. A 3. felülvizsgálat és az SP 1318 Small Business Primer szervezeti döntéseket kapcsol össze technikai intézkedésekkel. Az egyes követelményeket itt nem építjük újra.
A terjedelem és felelősség tisztázása.
A védelem megerősített információkkal és leírt rendszerhatárral kezdődik. A tervezés, felelősségi körök és a támogató szolgáltatásokkal való kapcsolatok összetartoznak. Ezért a technikai felelősség mellett nevezze meg azt a személyt is, aki a szerződéses kérdéseket és változásokat a megrendelővel tisztázza; így a megvalósítás a megfelelő tárgyra irányul.
Az emberek, identitások és hozzáférések összekapcsolása.
A jogosult személyeknek megfelelő hozzáférésre és feladataik megértésére van szükségük. A 3. felülvizsgálat családáttekintése hozzáférés-szabályozást, azonosítást, tudatosítást és személyi biztonságot foglal magában. A működési megvalósításban a belépést, feladatváltást, kiemelt jogosultságú tevékenységet és távozást együtt kell vizsgálni, ahelyett hogy pusztán egy technikai bejelentkezési mechanizmust tekintenének teljes megoldásnak.
A rendszerek szabályozott működtetése.
A konfiguráció, karbantartás és integritás a lehatárolt környezet követhető működését támogatja. Az SP 1318 bevezető általános megvalósítási nézőpontja segíti e témák konkrét felelősökhöz kapcsolását. A változásokat a CUI-ra és a meglévő bizonyítékokra gyakorolt hatásukkal kell vizsgálni; egy egyszeri helyzetfelmérés nem tartja tartósan naprakészen a terjedelmet.
Az adatok és környezetük védelme.
A CUI-védelem több, mint a szerveren lévő adatok védelme. A kommunikációt, adathordozókat, fizikai környezetet és részt vevő védelmi összetevőket az adott családok összefüggésében kell vizsgálni. A gyakorlati kérdés az, hol válnak ténylegesen hozzáférhetővé az információk, és mely átmeneteket kell biztosítani és dokumentálni személyek, rendszerek és szolgáltatók között.
Az incidensek, kockázatok és értékelés megszervezése.
A védelmi intézkedéseknek visszajelzésre van szükségük a felügyeletből, kockázatértékelésből és incidenskezelésből. Az aktuális NIST-kiadványok megkülönböztetik a követelményt annak értékelésétől: a megvalósításról szóló dokumentált állítás kiindulópont, még nem vizsgálati eredmény. Határozza meg, ki értékeli a feltárt problémákat, követi az intézkedéseket és vezeti vissza a módosult információkat a rendszerleírásba.
A beszerzés és paraméterek követhető meghatározása.
A külső szolgáltatások és szervezetspecifikus paraméterek a megerősített megvalósítás részét képezik. A Rev. 3 GYIK kifejti, hogy a hatóságok előírhatják a paraméterértékeket, kiválasztási segítséget adhatnak vagy megengedhetik meghatározásukat. Az elő nem írt értékeket ki kell egészíteni; a szabad kitalálás vagy illetékességi vizsgálat nélkül általánosan átvett értékek nem teremtenek megalapozott követelményi alapot.
A CUI-védelem megszervezése folyamatos feladatként.
A megbízás megerősítése.
Rögzítse az irányadó szerződést vagy megállapodást az illetékes szervezettel, a kért igazolással és a nyitott értelmezési kérdéseket kötelező erővel tisztázó személyekkel együtt.
Az információáramlás lehatárolása.
Írja le a megerősített CUI-t, részt vevő személyeket és rendszereket, valamint a védelmi összetevőkhöz és külső szolgáltatásokhoz való kapcsolatokat ellenőrizhető rendszerábrázolásban.
A felülvizsgálat és paraméterek rögzítése.
Erősítse meg az alkalmazandó kiadást és a paraméterértékek eredetét, valamint felelőseit, mielőtt a követelményeket működési feladatokká alakítja.
A megvalósítás felelős működtetése.
Rendeljen konkrét folyamatokat, technikai beállításokat és felelősöket az egyeztetett követelményekhez, és követhetően rögzítse a terjedelem változásait.
A bizonyítékok célzott vizsgálata.
Tervezzen megfelelő vizsgálatokat, megbeszéléseket és teszteket a megerősített megbízáshoz, és dokumentálja az eredményeket, korlátokat és nyitott intézkedéseket.
A változások követése.
A felelősökkel együtt értékelje az új szolgáltatásokat, adatáramlásokat és szerződésmódosításokat, és ennek megfelelően aktualizálja a rendszerleírást, intézkedéseket és értékelési iratokat.
Az értékelés és igazolás megkülönböztetése.
A NIST SP 800-171A eljárásokat ad a biztonsági követelmények értékelésére. Az 1.1. szakasz a System Security Plan, röviden SSP dokumentumot nevezi meg az értékelési terjedelem alapjaként; a 2.1. szakasz megkülönbözteti a vizsgálatot, interjút és tesztet. A vizsgálati tervnek meg kell határoznia, mely állításokat milyen bizonyítékokkal vizsgálják. Nem minden példaként felsorolt irat automatikusan szükséges minden megbízáshoz.
Az értékelésnek követhető állítást kell lehetővé tennie a tényleges megvalósításról az egyeztetett terjedelemben. A 2026. szeptemberi SP 1352 értékelési bevezető további ismertetést kínál ehhez. Egy puszta százalékérték felülvizsgálati adat, rendszerhatár és bizonyított eredmények nélkül kevéssé segíti ezt a megítélést. Az irányadó keretben kell tisztázni, milyen formát fogad el a megrendelő és mikor szükséges új értékelés.
A CMMC önálló program, nem a NIST 800-171 másik neve. A NIST CUI GYIK leírja a kapcsolatot a NIST-követelményekkel és vizsgálati módszerekkel, de elhatárolja a NIST-et a CMMC-tanúsítástól. Egy megkövetelt programstátusz vagy DoD-értékelés ezért nem keletkezik pusztán egy Rev. 3 katalógus feldolgozásával. Minden igazolásra általános érvényességi idő sem vezethető le belőle.
Más keretrendszerek elhelyezése.
A NIST SP 800-53 a tágabb biztonsági és adatvédelmi kontrollkatalógus, míg a NIST SP 800-171 a leírt CUI-környezetre szabott. A NIST CSF a megcélzott kiberbiztonsági eredmények közös áttekintését támogatja. Az ISO 27001 információbiztonság-irányítási rendszert szervez meg; a megfelelő tanúsítvány nem helyettesít külön kért CUI- vagy szerződéses igazolást.
A Secaniban.
A Secani saját szerkesztésű munkakatalógust biztosít a NIST SP 800-171 3. felülvizsgálatához. A profiladatok megkülönböztetik a megerősített CUI-terjedelmet, a szerződés szerinti felülvizsgálatot, a hatósági vagy szerződéses követelményt, a paraméterfelelősséget és a külső szolgáltatókat. Így az alapul vett besorolás a feldolgozással együtt rögzíthető. A katalógus munkasegédlet, amelynek szakmai vizsgálata még hátravan; sem CMMC-státuszt, sem DoD-pontszámot vagy hatósági megfelelőségi döntést nem ad ki.
Következő lépés.
Induljon konkrét megbízással és megerősített információáramlással. Rögzítse, mely CUI érintett, milyen rendszerek érintkeznek vele, és ki erősítheti meg az alkalmazandó szerződéses felülvizsgálatot. Csak ezután dönthető el értelmesen, milyen munka és igazolás szükséges következőként. A leírt lépéssor gyakorlati támpont, nem további hatóságilag előírt sorrend.
Források.
- NIST SP 800-171 Rev. 3: közzététel és alkalmazási terület
- NIST SP 800-171 Rev. 3: 1. és 2. szakasz, valamint családáttekintés
- NARA: Controlled Unclassified Information
- NIST: GYIK a 3. felülvizsgálatról és szervezetspecifikus paraméterekről
- NIST SP 1318: Small Business Primer
- NIST SP 800-171A Rev. 3: 1.1. és 2.1. szakasz
- NIST SP 1352: Assessment Small Business Primer
- NIST: CUI GYIK a szerződéses kérdésekről és a CMMC-ről
Gyakori kérdések.
Nem. A CUI jogszabályban, illetve hatóságilag szabályozott információkategória; a belső bizalmassági jelölés önmagában nem elegendő. Az érintett információkat és alapjukat tisztázza az illetékes szervezettel.
Nem. Az aktuális NIST-kiadványt és a szerződésben megkövetelt változatot külön kell megerősíteni. A megvalósításhoz és értékeléshez a konkrétan egyeztetett keret a döntő.
Nem. A biztonsági követelmények, értékelési eljárások és CMMC-programstátusz eltérő funkciót töltenek be. A NIST saját GYIK-je szerint nem illetékes a CMMC-tanúsításban.
Nem. A konkrét megállapodás, a releváns információk és az érintett rendszerterjedelem az irányadó. A vállalat székhelye önmagában sem kötelezettséget, sem kivételt nem igazol.
CUI-védelem egyértelmű terjedelemmel.
Rendezze a Secanival a munka állapotát, a felelősséget és az alapul vett szerződéses felülvizsgálatot.
Ez az oldal általános tájékozódást ad. Továbbra is az irányadó hatósági előírások, az egyeztetett felülvizsgálat és a konkrét szerződés a meghatározók.