NIST 800-171: o que a plataforma cobre

O NIST 800-171 trata da proteção de um tipo específico de informação: dados do governo dos Estados Unidos que não são classificados, mas também não são públicos, quando estão em posse de uma organização que não é do governo.

Ele é o framework mais específico do catálogo em termos de público, e o mais claro em termos de gatilho: você usa porque um contrato exige.

Para quem serve

Para empresas que participam da cadeia de fornecimento do governo americano, com destaque para a área de defesa.

Os casos:

• A empresa presta serviço, direta ou indiretamente, a órgãos de defesa dos Estados Unidos.
• Um contrato com fornecedor americano repassa essa exigência à sua empresa.
• A empresa pretende entrar nessa cadeia e quer se preparar.

Ele também é a base técnica do CMMC, o programa de certificação que verifica se o fornecedor de defesa realmente atende. Se você foi informado sobre CMMC, este catálogo é o conteúdo por trás dele.

Se a sua empresa não atua nesse mercado, este framework não tem uso prático.

A diferença em relação ao 800-53

As duas publicações são do mesmo instituto e servem a propósitos diferentes:

Na prática, o 800-171 é mais viável de atender: ele é derivado do catálogo maior, mas selecionado para o que importa na proteção daquela informação específica.

🖼️ Imagem: NIST 800-171 na plataforma, com as famílias de requisitos.

Tudo gira em torno de saber onde a informação está

Se há um trabalho que precede todos os outros, é este: identificar onde a informação protegida entra, circula e é armazenada na sua empresa.

A razão é a mesma do PCI DSS. Os requisitos se aplicam ao ambiente onde essa informação está. Reduzir esse ambiente reduz o escopo de forma legítima e drástica.

As decisões que mais ajudam:

• Segregar o ambiente que trata essa informação do resto da operação.
• Restringir quem tem acesso a ele.
• Não deixar a informação circular por ferramentas de uso geral, como e-mail e armazenamento compartilhado sem controle.

Empresas que fazem isso primeiro atendem o catálogo com uma fração do esforço.

O que ele cobra, em linhas gerais

Os requisitos se organizam em famílias que cobrem controle de acesso, conscientização e treinamento, auditoria e responsabilização, gestão de configuração, identificação e autenticação, resposta a incidentes, manutenção, proteção de mídia, segurança de pessoal, proteção física, avaliação de risco, avaliação de segurança, proteção de sistema e comunicações, e integridade de sistema e informação.

A ênfase está em restringir e registrar: quem acessa, o que faz, e como isso fica documentado.

O que é comprovado automaticamente e o que não é

Por onde começar

1. Leia o contrato. Ele define o que se aplica e a partir de quando. É a referência que manda.
2. Mapeie onde a informação protegida está. Este é o entregável que organiza todo o projeto.
3. Reduza e segregue esse ambiente antes de trabalhar requisitos.
4. Conecte as integrações que cobrem acesso, configuração e registro.
5. Publique as políticas de cada família aplicável.
6. Registre o treinamento de quem tem contato com a informação.
7. Se o CMMC estiver no caminho, alinhe o cronograma com o avaliador desde o início.

O que costuma dar problema

• Ambiente não segregado. Se a informação circula por toda a empresa, toda a empresa entra no escopo.
• Informação em ferramenta de uso geral. É o achado mais comum e o mais fácil de evitar.
• Ausência de registro de acesso. Saber quem acessou o quê é exigência recorrente.
• Tratar como equivalente ao 800-53. São publicações diferentes, com públicos diferentes.

⚠️ Esta página descreve o propósito e a estrutura geral do catálogo em linguagem própria, para orientar o uso da plataforma. As publicações do instituto responsável são de acesso público e são a referência oficial. O escopo aplicável e o prazo devem ser confirmados no contrato e com quem conduz a exigência.