NIST 800-171.
CUI aizsardzība sistēmās ārpus ASV federālās pārvaldes: skaidri nošķiriet prasības, līguma redakciju un novērtējumu.
- NIST SP 800-171 Rev. 3 · NIST SP 800-171A Rev. 3
- Autors: Jonathan Bezdek
- Aktualizēts: 22.10.2026
- Lasīšanas laiks: 7 min.
Īsā atbilde.
NIST 800-171 apraksta drošības prasības Controlled Unclassified Information jeb CUI aizsardzībai sistēmās ārpus ASV federālās pārvaldes. Iestādes izmanto publikāciju līgumos un vienošanās. 3. redakcija publicēta kopš 2024. gada maija; konkrētam pasūtījumam noteicoša paliek saskaņotā redakcija, apstiprinātais datu aptvērums un prasītais novērtējums.
NIST SP 800-171 3. redakcijas konteksts.
NIST SP 800-171 ir ASV publikācija noteiktas iestāžu regulētas informācijas aizsardzībai vidēs ārpus federālās pārvaldes. 3. redakcijas 1.1. sadaļa apraksta tās saistību ar līgumiem un vienošanām. No tā nerodas ne vispārējs pienākums katram Vācijas uzņēmumam, ne universāls NIST sertifikāts. Sākumpunkts ir konkrētās attiecības ar ASV federālo iestādi vai attiecīgu galveno darbuzņēmēju.
CUI nozīmē Controlled Unclassified Information un saskaņā ar atbildīgo ASV iestādi NARA apzīmē informāciju ar tiesiski vai visu iestāžu līmenī noteiktiem aizsardzības vai izplatīšanas nosacījumiem. CUI nav slepenības klasifikācija un nav arī kopīgs apzīmējums visiem iekšēji konfidenciālajiem uzņēmuma datiem. Jānoskaidro attiecīgais informācijas veids un tā pamats; pašu piešķirta etiķete šo noskaidrošanu neaizstāj.
Pašreizējā publikācijas redakcija un saskaņotais pārbaudes uzdevums ir atšķirīgi dati. NIST publikācijas lapa norāda 2024. gada maija 3. redakciju kā 2. redakcijas pēcteci. Tomēr šī publikācija automātiski nemaina esoša līguma pamatu. Kompetentajai pusei jāapstiprina, kāda redakcija, papildu prasības un apliecināšanas procedūras faktiski saskaņotas.
Kam būtiska CUI aizsardzība.
Aprakstītajā piemērošanas jomā NIST 800-171 skar sistēmas, kas apstrādā, glabā vai pārsūta CUI, kā arī komponentus, kas šīs sistēmas aizsargā. Tādēļ 1.1. sadaļa pieprasa uzticamu sistēmas norobežošanu. Uzņēmuma apzīmējums, atrašanās Eiropā vai vispārīga nozares klasifikācija neatbild uz aptvēruma jautājumu. Tāpat atsevišķu datu telpu bez savienojumu pārbaudes nedrīkst uzskatīt par pilnu aptvērumu.
Praktiskā sagatavošanās savieno pasūtījumu, informācijas plūsmu un atbildību. Fiksējiet, kāda informācija no kā ienāk, kur to izmanto un kādi iekšējie vai ārējie pakalpojumi iesaistīti. Neskaidras klasifikācijas jānodod atbildīgajai iestādes kontaktpersonai vai galvenajam darbuzņēmējam. Aktuālie NIST CUI biežākie jautājumi šādus atbilstības jautājumus skaidri novirza šīm pusēm; NIST nelemj par atsevišķa līguma izpildi.
Arī mazām organizācijām vajadzīga konkrēta vienošanās, nevis pieņemts atbrīvojums lieluma dēļ. NIST biežākie jautājumi par 3. redakciju apraksta piemērošanu, ko nosaka attiecīgā kompetentā iestāde. Small Business Primer SP 1318 atvieglo sākumu mazākiem uzņēmumiem, bet neaizstāj ne standartu, ne faktiskā pakalpojumu aptvēruma pārbaudi. Neliela organizācija var veidot vienkāršus procesus, tomēr saskaņotās prasības jāapstrādā izsekojami.
NIST 800-171 prasību pārskats.
Tālāk minētās sešas darba jomas ir autoru veidots CUI aizsardzības uzdevuma apkopojums; tās nav jauns NIST saimju sadalījums. 3. redakcija un Small Business Primer SP 1318 sasaista organizatoriskos lēmumus ar tehniskajiem pasākumiem. Atsevišķās prasības šeit netiek atveidotas.
Noskaidrot aptvērumu un atbildību.
Aizsardzība sākas ar apstiprinātu informāciju un aprakstītu sistēmas robežu. Plānošana, atbildība un attiecības ar atbalsta pakalpojumiem ir savstarpēji saistītas. Tādēļ līdzās tehniskajai atbildībai nosakiet arī personu, kas ar pasūtītāju noskaidro līguma jautājumus un izmaiņas; tā ieviešana paliek vērsta uz pareizo objektu.
Sasaistīt cilvēkus, identitātes un piekļuvi.
Pilnvarotām personām vajadzīga piemērota piekļuve un izpratne par saviem uzdevumiem. 3. redakcijas saimju pārskats ietver piekļuves kontroli, identificēšanu, informētības veicināšanu un personāla drošību. Ikdienas ieviešanai kopīgi jāaplūko darba sākšana, uzdevumu maiņa, privileģēta darbība un aiziešana, nevis tikai tehnisks pieteikšanās mehānisms jāuzskata par pilnīgu risinājumu.
Kontrolēti darbināt sistēmas.
Konfigurācija, uzturēšana un integritāte palīdz nodrošināt norobežotās vides izsekojamu darbību. SP 1318 ievada vispārējā ieviešanas perspektīva palīdz sasaistīt šīs tēmas ar konkrētiem atbildīgajiem. Izmaiņas jāvērtē pēc to ietekmes uz CUI un esošajiem pierādījumiem; vienreizēja stāvokļa apzināšana neuztur aptvērumu pastāvīgi aktuālu.
Aizsargāt datus un to vidi.
CUI aizsardzība aptver vairāk nekā datus serverī. Saziņa, datu nesēji, fiziskā vide un iesaistītie aizsardzības komponenti jāaplūko attiecīgo saimju kontekstā. Praktiskais jautājums ir, kur informācija faktiski kļūst pieejama un kādām pārejām starp personām, sistēmām un pakalpojumu sniedzējiem jābūt aizsargātām un dokumentētām.
Organizēt incidentus, riskus un novērtēšanu.
Aizsardzības pasākumiem vajadzīga atgriezeniskā saite no uzraudzības, risku novērtēšanas un incidentu apstrādes. Aktuālās NIST publikācijas nošķir prasību no tās novērtēšanas: dokumentēts apgalvojums par ieviešanu ir sākumpunkts, nevis vēl pārbaudes rezultāts. Nosakiet, kurš vērtē konstatētās problēmas, seko pasākumiem un atjaunina sistēmas aprakstu ar mainīto informāciju.
Izsekojami noteikt iepirkumu un parametrus.
Ārējie pakalpojumi un organizācijas parametri ietilpst apstiprinātajā ieviešanā. 3. redakcijas biežākie jautājumi skaidro, ka iestādes var noteikt parametru vērtības, nodrošināt atlases palīglīdzekļus vai atļaut to noteikšanu. Nenoteiktās vērtības jāpapildina; brīvi izdomātas vai vispārēji pārņemtas vērtības bez atbildības pārbaudes nerada uzticamu prasību pamatu.
Organizēt CUI aizsardzību kā nepārtrauktu uzdevumu.
Apstiprināt pasūtījumu.
Apziniet noteicošo līgumu vai vienošanos kopā ar kompetento pusi, prasīto apliecinājumu un personām, kas var saistoši noskaidrot neatrisinātos interpretācijas jautājumus.
Norobežot informācijas plūsmu.
Aprakstiet apstiprināto CUI, iesaistītās personas un sistēmas, kā arī savienojumus ar aizsardzības komponentiem un ārējiem pakalpojumiem pārbaudāmā sistēmas attēlojumā.
Fiksēt redakciju un parametrus.
Pirms prasību pārvēršanas darbības uzdevumos apstipriniet piemērojamo izdevumu un parametru vērtību izcelsmi un atbildību par tām.
Atbildīgi īstenot ieviešanu.
Piesaistiet saskaņotajām prasībām konkrētus procesus, tehniskos iestatījumus un atbildīgos un izsekojami fiksējiet aptvēruma izmaiņas.
Mērķtiecīgi pārbaudīt pierādījumus.
Plānojiet piemērotas izpētes, sarunas un testus apstiprinātajam pārbaudes uzdevumam un dokumentējiet rezultātus, robežas un nepabeigtos pasākumus.
Sekot izmaiņām.
Kopā ar atbildīgajiem novērtējiet jaunus pakalpojumus, datu plūsmas un līguma izmaiņas un attiecīgi atjauniniet sistēmas aprakstu, pasākumus un novērtējuma dokumentus.
Atsevišķi izprast novērtējumu un apliecinājumu.
NIST SP 800-171A nodrošina drošības prasību novērtēšanas procedūras. 1.1. sadaļa nosauc System Security Plan jeb SSP par novērtēšanas aptvēruma pamatu; 2.1. sadaļa nošķir izpēti, intervēšanu un testēšanu. Pārbaudes plānam jānosaka, kādus apgalvojumus pārbaudīs ar kādiem pierādījumiem. Ne katrs kā piemērs minēts dokuments automātiski vajadzīgs katram pasūtījumam.
Novērtējumam jāļauj izsekojami secināt par faktisko ieviešanu saskaņotajā aptvērumā. 2026. gada septembra novērtēšanas ievads SP 1352 tam piedāvā papildu ieskatu. Vienkāršs procentu skaitlis bez redakcijas norādes, sistēmas robežas un pamatotiem rezultātiem šādā izvērtēšanā maz palīdz. Attiecīgajā regulējumā jānoskaidro, kādu formu pasūtītājs pieņem un kad vajadzīga atkārtota novērtēšana.
CMMC ir patstāvīga programma, nevis cits NIST 800-171 nosaukums. NIST CUI biežākie jautājumi apraksta saikni ar NIST prasībām un pārbaudes metodēm, bet nošķir NIST no CMMC sertifikācijas. Tādēļ prasītais programmas statuss vai DoD novērtējums nerodas tikai no darba ar 3. redakcijas katalogu. No tā nevar atvasināt arī vispārēju derīguma termiņu visiem apliecinājumiem.
Citu ietvaru konteksts.
NIST SP 800-53 ir plašāks drošības un datu aizsardzības kontroļu katalogs, savukārt NIST SP 800-171 ir pielāgots aprakstītajam CUI kontekstam. NIST CSF palīdz kopīgi izvērtēt vēlamos kiberdrošības rezultātus. ISO 27001 organizē informācijas drošības pārvaldības sistēmu; attiecīgs sertifikāts neaizstāj atsevišķi prasītu CUI vai līguma apliecinājumu.
Secani vidē.
Secani ietver pašu izstrādātu darba katalogu NIST SP 800-171 3. redakcijai. Profila informācija nošķir apstiprinātu CUI aptvērumu, līguma redakciju, iestādes vai līguma prasību, atbildību par parametriem un ārējos pakalpojumu sniedzējus. Tā pamatā izmantoto klasifikāciju var fiksēt kopā ar darbu. Katalogs ir darba palīglīdzeklis, kura profesionālā pārbaude vēl nav pabeigta; tas neizsniedz ne CMMC statusu, ne DoD punktu skaitu, ne iestādes atbilstības lēmumu.
Nākamais solis.
Sāciet ar konkrētu pasūtījumu un apstiprinātu informācijas plūsmu. Fiksējiet, kāda CUI ir skarta, kuras sistēmas ar to saskaras un kurš var apstiprināt piemērojamo līguma redakciju. Tikai pēc tam var jēgpilni lemt, kāds darbs un apliecinājums vajadzīgs tālāk. Aprakstītā soļu secība ir praktiska orientācija, nevis papildu iestādes noteikta obligāta secība.
Avoti.
- NIST SP 800-171 Rev. 3: publikācija un piemērošanas joma
- NIST SP 800-171 Rev. 3: 1. un 2. sadaļa un saimju pārskats
- NARA: Controlled Unclassified Information
- NIST: biežākie jautājumi par 3. redakciju un organizācijas parametriem
- NIST SP 1318: Small Business Primer
- NIST SP 800-171A Rev. 3: 1.1. un 2.1. sadaļa
- NIST SP 1352: Assessment Small Business Primer
- NIST: CUI biežākie jautājumi par līgumiem un CMMC
Biežākie jautājumi.
Nē. CUI ir tiesiski vai iestāžu regulēta informācijas kategorija; iekšējs konfidencialitātes marķējums viens pats nav pietiekams. Noskaidrojiet attiecīgo informāciju un tās pamatu ar kompetento pusi.
Nē. Aktuālā NIST publikācija un līgumā prasītā redakcija jāapstiprina atsevišķi. Ieviešanai un novērtēšanai izšķirošs ir konkrēti saskaņotais ietvars.
Nē. Drošības prasībām, novērtēšanas procedūrām un CMMC programmas statusam ir atšķirīgas funkcijas. Saskaņā ar paša NIST biežākajiem jautājumiem NIST neatbild par CMMC sertifikāciju.
Nē. Noteicoša ir konkrētā vienošanās, būtiskā informācija un skartais sistēmas aptvērums. Uzņēmuma atrašanās vieta viena pati neapliecina ne pienākumu, ne izņēmumu.
CUI aizsardzība ar skaidru aptvērumu.
Ar Secani sakārtojiet darba stāvokli, atbildību un pamatā izmantoto līguma redakciju.
Šī lapa sniedz vispārīgu orientāciju. Noteicošas paliek attiecīgās iestāžu prasības, saskaņotā redakcija un konkrētais līgums.