NIST 800-171.
Proteção de CUI em sistemas não federais: distinga claramente os requisitos, a revisão contratual e a avaliação.
- NIST SP 800-171 Rev. 3 · NIST SP 800-171A Rev. 3
- Por Jonathan Bezdek
- Atualizado em: 22/10/2026
- Tempo de leitura: 9 min.
Resposta breve.
O NIST 800-171 descreve requisitos de segurança para proteger Controlled Unclassified Information, ou CUI, em sistemas fora da administração federal dos EUA. As autoridades utilizam a publicação em contratos e acordos. A revisão 3 está publicada desde maio de 2024; para um contrato, prevalecem a versão acordada, o âmbito confirmado dos dados e a avaliação exigida.
Enquadrar o NIST SP 800-171 revisão 3.
O NIST SP 800-171 é uma publicação dos EUA para proteger determinada informação sujeita a regras das autoridades em ambientes não federais. A secção 1.1 da revisão 3 descreve a sua ligação a contratos e acordos. Não cria uma obrigação geral para todas as empresas alemãs nem um certificado NIST universal. O ponto de partida é a relação concreta com uma autoridade federal dos EUA ou com um contratante principal correspondente.
CUI significa Controlled Unclassified Information e, segundo a autoridade competente dos EUA, NARA, designa informação com condições de proteção ou divulgação reguladas por lei ou por regras de aplicação transversal nas autoridades. A CUI não é uma classificação de segredo nem um termo genérico para todos os dados empresariais internamente confidenciais. O tipo de informação afetado e a sua base devem ser esclarecidos; uma etiqueta atribuída pela própria empresa não substitui esse esclarecimento.
A versão publicada atual e o mandato de avaliação acordado são dados diferentes. A página da publicação NIST apresenta a revisão 3 de maio de 2024 como sucessora da revisão 2. Contudo, a publicação não altera automaticamente a base de um contrato existente. A entidade competente deve confirmar a revisão, os requisitos complementares e os procedimentos de demonstração efetivamente acordados.
Para quem é relevante a proteção de CUI.
No âmbito descrito, o NIST 800-171 diz respeito a sistemas que processam, armazenam ou transmitem CUI e a componentes que protegem esses sistemas. Por isso, a secção 1.1 exige uma delimitação sólida dos sistemas. A designação da empresa, a sede na Europa ou uma classificação setorial genérica não respondem à questão do âmbito. Do mesmo modo, um espaço de dados isolado não deve ser considerado o âmbito completo sem analisar as suas ligações.
A preparação prática relaciona o contrato, o fluxo de informação e as responsabilidades. Registe que informação chega, de quem, onde é utilizada e que serviços internos ou externos estão envolvidos. As classificações por esclarecer devem ser dirigidas ao contacto da autoridade competente ou ao contratante principal. As perguntas frequentes CUI atuais do NIST remetem expressamente estas questões de conformidade para essas entidades; o NIST não decide sobre o cumprimento de um contrato individual.
As pequenas organizações também precisam de um acordo concreto, em vez de presumirem uma isenção por dimensão. As perguntas frequentes NIST sobre a revisão 3 descrevem a aplicação pela autoridade competente. O Small Business Primer SP 1318 facilita o início para empresas mais pequenas, mas não substitui a norma nem a análise dos serviços efetivos. Uma organização de pequena dimensão pode simplificar os seus processos, mas deve tratar os requisitos acordados de forma rastreável.
Os requisitos NIST 800-171 em perspetiva.
As seis áreas seguintes agrupam editorialmente a tarefa de proteção de CUI; não são uma nova divisão das famílias NIST. A revisão 3 e o Small Business Primer SP 1318 relacionam decisões organizativas com medidas técnicas. Não são aqui reproduzidos requisitos individuais.
Esclarecer o âmbito e a responsabilidade.
A proteção começa com informação confirmada e limites de sistema descritos. O planeamento, as responsabilidades e as relações com serviços de apoio articulam-se entre si. Por isso, além da responsabilidade técnica, identifique a pessoa que esclarece as questões contratuais e as alterações com o cliente; assim, a implementação mantém-se orientada para o objeto correto.
Relacionar as pessoas, as identidades e os acessos.
As pessoas autorizadas precisam de acessos adequados e de compreender as suas tarefas. A síntese de famílias da revisão 3 inclui controlo de acessos, identificação, sensibilização e segurança dos recursos humanos. Para a implementação operacional, devem ser consideradas em conjunto a entrada, a mudança de tarefas, a atividade privilegiada e a saída, em vez de tratar apenas um mecanismo técnico de autenticação como solução completa.
Operar os sistemas de forma controlada.
A configuração, a manutenção e a integridade apoiam uma operação rastreável do ambiente delimitado. A perspetiva geral de implementação do Primer SP 1318 ajuda a relacionar estes temas com responsáveis concretos. As alterações devem ser consideradas com os seus impactos sobre a CUI e as evidências existentes; um levantamento único não mantém o âmbito permanentemente atualizado.
Proteger os dados e o seu ambiente.
A proteção de CUI abrange mais do que dados num servidor. A comunicação, os suportes de dados, o ambiente físico e os componentes de proteção envolvidos devem ser considerados no contexto das respetivas famílias. A pergunta prática é onde a informação fica efetivamente acessível e que passagens entre pessoas, sistemas e prestadores devem ser protegidas e documentadas.
Organizar os incidentes, os riscos e a avaliação.
As medidas de proteção precisam de retorno da monitorização, da apreciação de riscos e do tratamento de incidentes. As publicações atuais do NIST distinguem o requisito da sua avaliação: uma afirmação documentada sobre a implementação é um ponto de partida, ainda não um resultado de avaliação. Defina quem avalia os problemas identificados, acompanha as medidas e incorpora a informação alterada na descrição do sistema.
Definir a aquisição e os parâmetros de forma rastreável.
Os serviços externos e os parâmetros organizacionais fazem parte da implementação confirmada. As perguntas frequentes da revisão 3 explicam que as autoridades podem impor valores de parâmetros, fornecer apoios à seleção ou permitir a sua definição. Os valores não impostos devem ser completados; invenções livres ou valores adotados genericamente sem verificar a competência não criam uma base sólida de requisitos.
Organizar a proteção de CUI como tarefa contínua.
Confirmar o contrato.
Registe o contrato ou acordo determinante com a entidade competente, a demonstração exigida e as pessoas que podem esclarecer de forma vinculativa as questões de interpretação em aberto.
Delimitar o fluxo de informação.
Descreva a CUI confirmada, as pessoas e os sistemas envolvidos e as ligações a componentes de proteção e serviços externos numa representação verificável do sistema.
Registar a revisão e os parâmetros.
Confirme a edição a aplicar, a origem e a responsabilidade pelos valores dos parâmetros antes de traduzir os requisitos em tarefas operacionais.
Operar a implementação com responsabilidade.
Associe aos requisitos acordados processos concretos, configurações técnicas e responsáveis e registe as alterações ao âmbito de forma rastreável.
Verificar as evidências de forma direcionada.
Planeie exames, entrevistas e testes adequados ao mandato de avaliação confirmado e documente os resultados, os limites e as medidas em aberto.
Acompanhar as alterações.
Avalie novos serviços, fluxos de dados e alterações contratuais com os responsáveis e atualize em conformidade a descrição do sistema, as medidas e os documentos da avaliação.
Compreender separadamente a avaliação e a demonstração.
O NIST SP 800-171A fornece procedimentos para avaliar os requisitos de segurança. A secção 1.1 apresenta o System Security Plan, ou SSP, como base para o âmbito da avaliação; a secção 2.1 distingue exame, entrevista e teste. Um plano de avaliação deve definir que afirmações são analisadas com que evidências. Nem todos os documentos apresentados como exemplos são automaticamente necessários para todos os contratos.
A avaliação deve permitir uma conclusão rastreável sobre a implementação real no âmbito acordado. O Assessment-Primer SP 1352 de setembro de 2026 oferece uma introdução adicional. Uma simples percentagem sem indicação da revisão, limites do sistema e resultados comprovados é pouco útil para este enquadramento. A forma aceite pelo cliente e o momento de uma nova avaliação devem ser esclarecidos no quadro pertinente.
O CMMC é um programa próprio, não outro nome para o NIST 800-171. As perguntas frequentes CUI do NIST descrevem a ligação aos requisitos e métodos de avaliação NIST, mas distinguem o NIST da certificação CMMC. Por isso, um estatuto de programa exigido ou uma avaliação do DoD não resultam apenas do trabalho com um catálogo da revisão 3. Também não se pode deduzir uma validade geral para todas as evidências.
Enquadrar outros referenciais.
O NIST SP 800-53 é o catálogo mais amplo de controlos de segurança e privacidade, enquanto o NIST SP 800-171 é adaptado ao contexto CUI descrito. O NIST CSF apoia o enquadramento comum dos resultados de cibersegurança pretendidos. A ISO 27001 organiza um sistema de gestão da segurança da informação; o respetivo certificado não substitui uma demonstração CUI ou contratual exigida separadamente.
No Secani.
O Secani disponibiliza um catálogo editorial de trabalho relativo ao NIST SP 800-171 revisão 3. Os dados de perfil distinguem o âmbito CUI confirmado, a revisão contratual, o requisito da autoridade ou do contrato, a responsabilidade pelos parâmetros e os prestadores externos. Assim, é possível registar o enquadramento adotado juntamente com o trabalho. O catálogo é um apoio cuja avaliação técnica está pendente; não emite um estatuto CMMC, uma pontuação DoD nem uma decisão oficial de conformidade.
Próximo passo.
Comece por um contrato concreto e um fluxo de informação confirmado. Registe a CUI afetada, os sistemas que a utilizam e quem pode confirmar a revisão contratual aplicável. Só depois se pode decidir de forma útil o trabalho e a demonstração necessários a seguir. A sequência descrita é uma orientação prática, não uma ordem adicional imposta por uma autoridade.
Fontes.
- NIST SP 800-171 Rev. 3: publicação e âmbito de aplicação
- NIST SP 800-171 Rev. 3: secções 1 e 2 e síntese das famílias
- NARA: Controlled Unclassified Information
- NIST: perguntas frequentes sobre a revisão 3 e os parâmetros organizacionais
- NIST SP 1318: Small Business Primer
- NIST SP 800-171A Rev. 3: secções 1.1 e 2.1
- NIST SP 1352: Assessment Small Business Primer
- NIST: perguntas frequentes CUI sobre questões contratuais e CMMC
Perguntas frequentes.
Não. A CUI é uma categoria de informação regulada por lei ou por regras das autoridades; uma classificação interna de confidencialidade, por si só, não é suficiente. Esclareça a informação abrangida e a sua base com a entidade competente.
Não. A publicação NIST atual e a versão contratualmente exigida devem ser confirmadas separadamente. O quadro concretamente acordado é determinante para a implementação e a avaliação.
Não. Os requisitos de segurança, os procedimentos de avaliação e o estatuto do programa CMMC têm funções diferentes. Segundo as suas próprias perguntas frequentes, o NIST não é responsável pela certificação CMMC.
Não. São determinantes o acordo concreto, a informação relevante e o âmbito do sistema afetado. A sede da empresa, por si só, não confirma uma obrigação nem uma exceção.
Proteção de CUI com um âmbito claro.
Organize com o Secani o estado do trabalho, as responsabilidades e a revisão contratual adotada.
Esta página oferece orientação geral. Continuam a prevalecer os requisitos pertinentes das autoridades, a revisão acordada e o contrato concreto.