NIST 800-171.
CUI apsauga ne federalinėse sistemose: aiškiai atskirkite reikalavimus, sutarties redakciją ir vertinimą.
- NIST SP 800-171 Rev. 3 · NIST SP 800-171A Rev. 3
- Autorius: Jonathan Bezdek
- Aktualu: 2026-10-22
- Skaitymo trukmė: 7 min.
Trumpas atsakymas.
NIST 800-171 aprašo Controlled Unclassified Information, trumpai CUI, saugumo reikalavimus sistemose už JAV federalinės administracijos ribų. Institucijos naudoja publikaciją sutartyse ir susitarimuose. 3 redakcija paskelbta 2024 m. gegužę; konkrečiai užduočiai lemiama lieka sutarta versija, patvirtinta duomenų aprėptis ir reikalaujamas vertinimas.
NIST SP 800-171 3 redakcijos kontekstas.
NIST SP 800-171 yra JAV publikacija, skirta tam tikrai institucijų reguliuojamai informacijai apsaugoti ne federalinėse aplinkose. 3 redakcijos 1.1 skirsnyje aprašomas jos ryšys su sutartimis ir susitarimais. Tai nesukuria bendros pareigos kiekvienai Vokietijos įmonei ar universalaus NIST sertifikato. Pradžia yra konkretus ryšys su JAV federaline institucija arba atitinkamu pagrindiniu rangovu.
CUI reiškia Controlled Unclassified Information ir, pagal kompetentingą JAV instituciją NARA, žymi informaciją, kurios apsaugos ar platinimo sąlygos nustatytos teisėje arba visos administracijos lygmeniu. CUI nėra slaptumo kategorija ir nėra bendras visų vidinių konfidencialių įmonės duomenų pavadinimas. Reikia išsiaiškinti informacijos tipą ir jo pagrindą; pačių suteikta žyma šio nustatymo nepakeičia.
Dabartinė publikacijos redakcija ir sutarta vertinimo užduotis yra skirtingi duomenys. NIST publikacijos puslapyje 2024 m. gegužės 3 redakcija nurodoma kaip 2 redakcijos įpėdinė. Tačiau esama sutartis dėl šio paskelbimo automatiškai neperkeliama į kitą pagrindą. Kompetentinga šalis turėtų patvirtinti, kokia redakcija, papildomi reikalavimai ir įrodymo procedūros iš tikrųjų sutarti.
Kam aktuali CUI apsauga.
Aprašytoje taikymo srityje NIST 800-171 skirtas sistemoms, kurios tvarko, saugo ar perduoda CUI, ir komponentams, saugantiems šias sistemas. Todėl 1.1 skirsnis reikalauja patikimų sistemos ribų. Įmonės pavadinimas, buveinė Europoje ar bendra sektoriaus kategorija neatsako į aprėpties klausimą. Taip pat vienos duomenų erdvės be jos ryšių patikros nereikėtų laikyti visa aprėptimi.
Praktinis pasirengimas susieja užduotį, informacijos srautą ir atsakomybes. Užfiksuokite, kokia informacija iš ko gaunama, kur naudojama ir kokios vidinės ar išorinės paslaugos dalyvauja. Neaiškius klasifikavimo klausimus perduokite atsakingam institucijos kontaktui ar pagrindiniam rangovui. Dabartiniai NIST CUI DUK tokius atitikties klausimus aiškiai nukreipia šioms šalims; NIST nesprendžia dėl konkrečios sutarties įvykdymo.
Ir mažoms organizacijoms reikia konkretaus susitarimo, o ne numanomo atleidimo dėl dydžio. NIST 3 redakcijos DUK aprašo taikymą per atitinkamą kompetentingą instituciją. Small Business Primer SP 1318 palengvina pradžią mažesnėms įmonėms, tačiau nepakeičia nei standarto, nei tikrosios paslaugų aprėpties vertinimo. Nedidelė organizacija gali paprastai organizuoti procesus, tačiau sutartus reikalavimus turi vykdyti atsekamai.
NIST 800-171 reikalavimų apžvalga.
Toliau šešios darbo sritys redakciškai apibendrina CUI apsaugos užduotį; tai nėra naujas NIST šeimų suskirstymas. 3 redakcija ir Small Business Primer SP 1318 susieja organizacinius sprendimus su techninėmis priemonėmis. Atskiri reikalavimai čia neatkuriami.
Išsiaiškinkite aprėptį ir atsakomybę.
Apsauga prasideda nuo patvirtintos informacijos ir aprašytos sistemos ribos. Planavimas, atsakomybės ir ryšiai su pagalbinėmis paslaugomis sudaro visumą. Todėl, be techninio atsakingojo, paskirkite asmenį, kuris su užsakovu aiškinasi sutarties klausimus ir pakeitimus; taip įgyvendinimas lieka nukreiptas į teisingą objektą.
Susiekite žmones, tapatybes ir prieigas.
Įgaliotiems žmonėms reikia tinkamų prieigų ir savo užduočių supratimo. 3 redakcijos šeimų apžvalga apima prieigos kontrolę, identifikavimą, informuotumą ir personalo saugumą. Praktiškai reikėtų kartu nagrinėti priėmimą, užduočių keitimą, privilegijuotą veiklą ir išėjimą, užuot vien techninį prisijungimo mechanizmą laikę visu sprendimu.
Kontroliuojamai valdykite sistemas.
Konfigūracija, priežiūra ir vientisumas padeda atsekamai valdyti apibrėžtą aplinką. Bendras SP 1318 pradžiamokslio įgyvendinimo požiūris padeda susieti šias temas su konkrečiais atsakingaisiais. Pakeitimus reikia nagrinėti pagal jų poveikį CUI ir turimiems įrodymams; vienkartinė inventorizacija neužtikrina nuolatinio aprėpties aktualumo.
Saugokite duomenis ir jų aplinką.
CUI apsauga apima daugiau nei duomenis viename serveryje. Ryšius, laikmenas, fizinę aplinką ir dalyvaujančius apsaugos komponentus reikia nagrinėti atitinkamų šeimų kontekste. Praktinis klausimas – kur informacija iš tikrųjų tampa prieinama ir kokie perėjimai tarp žmonių, sistemų bei teikėjų turi būti apsaugoti ir dokumentuoti.
Organizuokite incidentus, riziką ir vertinimą.
Apsaugos priemonėms reikia grįžtamojo ryšio iš stebėsenos, rizikos vertinimo ir incidentų tvarkymo. Dabartinės NIST publikacijos atskiria reikalavimą nuo jo vertinimo: dokumentuotas įgyvendinimo teiginys yra pradžios taškas, dar ne vertinimo rezultatas. Nustatykite, kas vertina aptiktas problemas, stebi priemones ir grąžina pakeistą informaciją į sistemos aprašymą.
Atsekamai nustatykite pirkimus ir parametrus.
Išorinės paslaugos ir organizaciniai parametrai yra patvirtinto įgyvendinimo dalis. 3 redakcijos DUK aiškina, kad institucijos gali nustatyti parametrų vertes, teikti pasirinkimo pagalbą arba leisti jas nustatyti. Nenustatytas vertes reikia papildyti; laisvai sugalvotos ar bendrai perimtos vertės nepatikrinus kompetencijos nesukuria patikimo reikalavimų pagrindo.
Organizuokite CUI apsaugą kaip nuolatinę užduotį.
Patvirtinkite užduotį.
Užfiksuokite lemiamą sutartį ar susitarimą, kompetentingą šalį, reikalaujamą įrodymą ir žmones, galinčius privalomai išspręsti atvirus aiškinimo klausimus.
Apibrėžkite informacijos srautą.
Patikrinamame sistemos apraše pateikite patvirtintą CUI, dalyvaujančius žmones ir sistemas bei ryšius su apsaugos komponentais ir išorinėmis paslaugomis.
Užfiksuokite redakciją ir parametrus.
Prieš paversdami reikalavimus veiklos užduotimis patvirtinkite taikytiną leidimą bei parametrų verčių kilmę ir atsakomybę už jas.
Atsakingai vykdykite įgyvendinimą.
Sutartiems reikalavimams priskirkite konkrečius procesus, techninius nustatymus ir atsakinguosius bei atsekamai fiksuokite aprėpties pakeitimus.
Tikslingai tikrinkite įrodymus.
Suplanuokite tinkamus tyrimus, pokalbius ir bandymus patvirtintai vertinimo užduočiai bei dokumentuokite rezultatus, ribas ir nebaigtas priemones.
Stebėkite pokyčius.
Kartu su atsakingaisiais vertinkite naujas paslaugas, duomenų srautus ir sutarčių pakeitimus bei atitinkamai atnaujinkite sistemos aprašymą, priemones ir vertinimo dokumentus.
Atskirai supraskite vertinimą ir įrodymą.
NIST SP 800-171A pateikia saugumo reikalavimų vertinimo procedūras. 1.1 skirsnyje System Security Plan, trumpai SSP, nurodomas kaip vertinimo aprėpties pagrindas; 2.1 skirsnis atskiria tyrimą, apklausą ir bandymą. Vertinimo planas turi nustatyti, kokie teiginiai kokiais įrodymais tiriami. Ne kiekvienas pavyzdžiuose išvardytas dokumentas automatiškai būtinas kiekvienai užduočiai.
Vertinimas turi leisti pateikti atsekamą išvadą apie tikrąjį įgyvendinimą sutartoje aprėptyje. 2026 m. rugsėjo Assessment Primer SP 1352 pateikia papildomą įvadą. Vien procentas be redakcijos, sistemos ribų ir pagrįstų rezultatų šiam vertinimui mažai naudingas. Atitinkamoje sistemoje reikia išsiaiškinti, kokią formą priima užsakovas ir kada būtinas pakartotinis vertinimas.
CMMC yra atskira programa, o ne kitas NIST 800-171 pavadinimas. NIST CUI DUK aprašo ryšį su NIST reikalavimais ir vertinimo metodais, tačiau atskiria NIST nuo CMMC sertifikavimo. Todėl vien 3 redakcijos katalogo tvarkymas nesuteikia reikalaujamo programos statuso ar DoD vertinimo. Iš to taip pat negalima nustatyti bendro visų įrodymų galiojimo laiko.
Ryšys su kitomis sistemomis.
NIST SP 800-53 yra platesnis saugumo ir privatumo kontrolės priemonių katalogas, o NIST SP 800-171 pritaikytas aprašytam CUI kontekstui. NIST CSF padeda bendrai apibrėžti siekiamus kibernetinio saugumo rezultatus. ISO 27001 organizuoja informacijos saugumo vadybos sistemą; atitinkamas sertifikatas nepakeičia atskirai reikalaujamo CUI ar sutartinio įrodymo.
„Secani“ sistemoje.
„Secani“ turi redakcinį NIST SP 800-171 3 redakcijos darbo katalogą. Profilio duomenys atskiria patvirtintą CUI aprėptį, sutarties redakciją, institucijos ar sutarties reikalavimą, atsakomybę už parametrus ir išorinius teikėjus. Taip galima kartu su darbu užfiksuoti taikytą klasifikavimą. Katalogas yra pagalbinė priemonė, kurios specialistų patikra dar neatlikta; jis nesuteikia nei CMMC statuso, nei DoD balo, nei institucijos atitikties sprendimo.
Kitas žingsnis.
Pradėkite nuo konkretaus užsakymo ir patvirtinto informacijos srauto. Užfiksuokite, kokia CUI aktuali, kokios sistemos ją liečia ir kas gali patvirtinti taikytiną sutarties redakciją. Tik tada prasminga spręsti, kokio darbo ir įrodymo reikia toliau. Aprašyta žingsnių seka yra praktinis orientyras, o ne papildoma institucijos privalomai nustatyta tvarka.
Šaltiniai.
- NIST SP 800-171 Rev. 3: publikacija ir taikymo sritis
- NIST SP 800-171 Rev. 3: 1 ir 2 skirsniai bei šeimų apžvalga
- NARA: Controlled Unclassified Information
- NIST: DUK apie 3 redakciją ir organizacinius parametrus
- NIST SP 1318: pradžiamokslis mažoms įmonėms
- NIST SP 800-171A Rev. 3: 1.1 ir 2.1 skirsniai
- NIST SP 1352: vertinimo pradžiamokslis mažoms įmonėms
- NIST: CUI DUK apie sutarčių klausimus ir CMMC
Dažniausi klausimai.
Ne. CUI yra teisėje arba institucijų taisyklėse nustatyta informacijos kategorija; vien vidinės konfidencialumo žymos nepakanka. Atitinkamą informaciją ir jos pagrindą išsiaiškinkite su kompetentinga šalimi.
Ne. Dabartinę NIST publikaciją ir sutartyje reikalaujamą versiją reikia patvirtinti atskirai. Įgyvendinimui ir vertinimui lemiamas konkrečiai sutartas pagrindas.
Ne. Saugumo reikalavimai, vertinimo procedūros ir CMMC programos statusas atlieka skirtingas funkcijas. Pagal savo DUK NIST nėra atsakingas už CMMC sertifikavimą.
Ne. Svarbus konkretus susitarimas, atitinkama informacija ir susijusi sistemos aprėptis. Vien įmonės buveinė nepatvirtina nei pareigos, nei išimties.
CUI apsauga su aiškia aprėptimi.
Su „Secani“ sutvarkykite darbo būklę, atsakomybę ir taikytą sutarties redakciją.
Šis puslapis pateikia bendras gaires. Lemiamą reikšmę ir toliau turi atitinkami institucijų reikalavimai, sutarta redakcija ir konkreti sutartis.