Lista de verificación gratuita de cumplimiento NIST 800-171
El cumplimiento del NIST es obligatorio para cualquier entidad y proveedor de servicios que procese información no clasificada controlada (CUI) en nombre del Gobierno Federal de los EE. UU. Dado el riesgo sustancial para la seguridad nacional si se explotan estos datos confidenciales y el alto potencial de su compromiso a través de ataques a la cadena de suministro, la gama de organizaciones que se espera que cumplan con esta regulación de ciberseguridad es intencionalmente amplia.
Para respaldar el cumplimiento de los requisitos de seguridad críticos de NIST SP 800-171, hemos desarrollado una lista de verificación para acompañar a un programa de seguridad de la información.
Esta lista de verificación le ayudará a evaluar el estado de cumplimiento de su organización y cualquier deficiencia crítica que requiera una corrección inmediata.
¿Quién se espera que cumpla con NIST 800-171?
De acuerdo con el Instituto Nacional de Estándares y Tecnología, el cumplimiento de NIST 800-171 es obligatorio para las siguientes categorías de entidades:
- Cualquier proveedor de servicios que procese datos para agencias gubernamentales y agencias federales.
- Contratistas del gobierno.
- Cualquier entidad con un contrato federal.
- Contratistas del Departamento de Defensa (contratistas del Departamento de Defensa).
- Cualquier entidad y subcontratista que procese información federal.
- Encargados del tratamiento de datos sanitarios.
- Entidades educativas con acceso a datos federales (como colegios y universidades)
Obtenga más información sobre NIST 800-171.
Si su organización sufre una violación de datos y se espera que cumpla con NIST 800-171, es probable que los funcionarios federales investiguen el evento para determinar el alcance del daño a cualquier CUI. Dicha evaluación determinará su nivel de cumplimiento en el momento del incidente.
Si se determina que los esfuerzos de su organización para proteger CUI fueron insuficientes, podrían surgir las siguientes consecuencias:
- Fuertes sanciones del Gobierno Federal, además de todos los costos habituales de violación de datos asociados.
- Una violación de la Ley de Reclamaciones Falsas.
- Terminación de contrato federal.
- Lista negra de estado del contratista
¿Qué es CUI?
Un análisis más detallado de la categoría especial de información confidencial que está protegida por esta regulación del NIST le ayudará a comprender si se espera que su organización cumpla.
A grandes rasgos, si su empresa procesa alguno de los siguientes tipos de información vinculada al gobierno federal de alguna manera, debe cumplir con la Publicación especial 800-171 del NIST.
- Correos electrónicos
- Documentos electrónicos y en papel
- Información propia
- Diseños y especificaciones
- Propiedad intelectual
A un nivel más profundo, CUI se divide en 18 categorías. Es posible que descubra que su organización está asociada con los sectores específicos a los que se asignan algunas de estas categorías.
- Infraestructura crítica
- Defensa
- Control de Exportaciones
- Financiero
- Inmigración
- Inteligencia
- Acuerdos Internacionales
- Aplicación de la ley
- Legal
- Recursos Naturales y Culturales
- Organización del Tratado del Atlántico Norte (OTAN)
- Nuclear
- Patente
- Privacidad
- Adquisiciones y Adquisiciones
- Estadístico
- Impuesto
- Transporte
Para obtener una descripción detallada de los tipos de datos dentro de cada categoría de CUI, consulte esta lista de la Administración Nacional de Archivos y Registros (NARA).
Lista de verificación de cumplimiento NIST 800-171
La siguiente lista de comprobación le ayudará a realizar un seguimiento del cumplimiento de los estándares de seguridad y los requisitos de cumplimiento de NIST 800-171. Esta lista de verificación de cumplimiento gratuita de NIST 800-171 también ayudará a su equipo de seguridad a preparar toda la documentación relevante y los informes de cumplimiento para los evaluadores.
NIST 800-171 deriva gran parte de su control de seguridad de NIST 800-53, ya que es un subconjunto de ese estándar de ciberseguridad.
Para obtener un desglose muy detallado de la asignación de controles de seguridad individuales a cada requisito de NIST 800-171 y NIST 800-53, consulte este documento de la Universidad de Cincinnati.
Obtenga más información sobre NIST 800-53.
Esta lista de verificación se ha comprimido intencionalmente a partir de la lista completa (y abrumadora) de 110 requisitos de cumplimiento descritos por el NIST.
🔲 Identifique todos los recursos que procesan CUI.
🔲 Asigne el flujo de datos CUI en todo su ecosistema de tecnología de la información.
🔲 Realizar evaluaciones de riesgos internas y externas para descubrir posibles vulnerabilidades que amenacen la integridad y confidencialidad de CUI.
🔲 En función de los resultados de la evaluación de seguridad, defina un plan de acción claro y hitos (POA&M).
🔲 Defina una línea base de cumplimiento del NIST y una ruta de madurez hacia el cumplimiento completo.
🔲 Documente y evalúe los requisitos de acceso a CUI de todo el personal y de los proveedores externos.
🔲 Identifique los departamentos y el personal con acceso a CUI.
🔲 Implemente políticas de control de acceso para limitar el acceso a CUI.
🔲 Asegúrese de que todas las políticas de seguridad, los registros de acceso y la documentación de controles de seguridad se mencionen en un documento del plan de seguridad del sistema (SSP).
🔲 Obtener al menos una Certificación del Modelo de Madurez de Ciberseguridad (CMMC) de nivel tres.
>🔲 Implementar el Marco de Ciberseguridad (CSF) del NIST.
🔲 Cree un plan de respuesta a incidentes que priorice la protección de CUI.
🔲 Ejecute simulacros regulares de incidentes de seguridad para probar la integridad del sistema y la información.
🔲 Realice pruebas de penetración periódicas para evaluar la resistencia de todas las familias de control, incluidos los puntos de acceso físicos.
🔲 Aplique la autenticación multifactor en todos los endpoints.
🔲 Implementar soluciones para controlar el acceso a los datos del sistema (firewalls, cifrado, servidores proxy, etc.).
🔲 Implementar una capacitación de concientización que explique el papel de la seguridad del personal para lograr el cumplimiento del NIST.
🔲 Implemente un programa de gestión de riesgos de proveedores (VRM) para mitigar el compromiso de CUI de los ataques a la cadena de suministro.
🔲 Implemente políticas de gestión de la configuración que eviten las exposiciones de software y las fugas de datos.
🔲 Implemente estrategias de protección de medios para todos los discos duros externos para mitigar la corrupción y la pérdida de datos.
🔲 Reúna evidencia de seguimiento de auditoría para optimizar los esfuerzos de los evaluadores.
Lista de verificación de autoevaluación NIST 800-171
🔲 Agregue todas las políticas de seguridad implementadas, las políticas de protección física y todas las soluciones que protegen la información no clasificada controlada.
🔲 Agregar datos de auditorías y autoevaluaciones anteriores.
🔲 Nomine a los representantes de la familia de control para transmitir instantáneamente el estado de los esfuerzos de protección del sistema y las comunicaciones cuando sea necesario.
🔲 Defina claramente el ciclo de vida de todas las autoevaluaciones (punto de inicio y finalización).
🔲 Enumere todos los controles de seguridad y metodologías de ciberseguridad que salvaguardan CUI.
🔲 Mantenga a las partes interesadas informadas de los resultados de todas las autoevaluaciones con informes ejecutivos.
🔲 Implemente una solución para automatizar las evaluaciones de riesgos para agilizar los procesos de autoevaluación y evaluación de proveedores de servicios.